服务器中毒通常不会像个人电脑那样弹窗提示,而是潜伏在后台进行资源窃取、数据破坏或作为跳板机。核心上文归纳在于：服务器中毒主要通过系统资源（CPU/内存）异常飙升、网络连接出现可疑外联、关键系统文件被篡改以及日志中出现异常登录行为这四大特征来体现。 要准确判断，必须结合系统内置命令与专业安全工具进行多维度的深度排查，从进程、文件、网络、账号四个层面建立防御感知体系。
系统资源与进程行为异常分析
服务器中毒最直观的表现是硬件资源的异常占用,攻击者植入的挖矿病毒、DDoS僵尸木马通常会大量消耗CPU或内存资源。
CPU与内存占用率监控
通过系统监控工具（如Linux下的top、htop，Windows下的任务管理器）观察资源使用情况。如果服务器在业务低峰期CPU持续100%占用，或者内存占用率远超正常业务水平，这是极其中毒的信号。 特别需要注意的是，有些恶意进程会伪装成系统合法进程名称，例如将kworker或systemd稍作修改，以混淆视听。
可疑进程识别
在Linux终端执行top -c命令，可以查看完整的进程命令行。重点关注那些CPU占用率高但Command列路径奇怪的进程。 正常的系统进程通常位于/usr/sbin或/bin下，如果发现高占用进程位于/tmp、/var/tmp或/dev/shm等可写目录下，这几乎就是恶意程序。如果发现名为xmrig、minerd等字样的进程，说明服务器已被植入挖矿木马。
进程树关系排查
使用pstree命令查看进程树，恶意程序往往会通过启动父进程来守护子进程，或者被注入到正常的系统进程中（如SSH daemon）。如果发现孤立的进程，或者不明进程从系统核心服务中“分裂”出来，需要立即追踪其父进程ID（PPID）并进行查杀。
网络连接与流量特征诊断
中毒后的服务器通常会与攻击者的控制端（C&C服务器）建立连接，或者对外发起攻击。
异常网络连接检测
利用netstat -antp或ss -antp命令查看当前网络连接。重点检查ESTABLISHED（已建立）状态的连接。 观察是否存在连接到未知境外IP、非标准端口（如大端口随机连接）的长时间连接。如果服务器是Web应用，却主动向外部发起大量TCP连接，极有可能是DDoS攻击木马或在回传数据。
监听端口扫描
使用netstat -tulnp查看监听端口。除了Web服务（80/443）、SSH（22）等必要端口外，如果发现开启了未知的可疑端口（如6666、3333等），这通常是后门程序留下的入口。 对于Windows服务器，可以使用netstat -ano结合TCPView工具进行可视化分析。
流量突增与I/O异常
如果服务器带宽突然跑满，但网站访问量（PV）并没有相应增加，说明服务器正在对外发包。这可能是参与了DDoS反射攻击，或者正在被勒索病毒进行全盘加密（产生大量磁盘读写I/O）。 使用iftop或nethogs工具可以按进程查看流量占用，快速定位肇事进程。
文件完整性与系统环境排查
攻击者为了维持权限,通常会修改系统文件、植入Webshell或篡改网站页面。
敏感目录与文件检查
重点检查Web根目录（如/var/www/html）下的异常文件。*查找最近修改时间异常的文件，可以使用find命令，例如查找最近24小时内被修改的PHP文件：`find ./ -name “.php” -mtime -0。** 常见的Webshell文件名包含shell.phpx.phphack.php或者经过Base64编码混淆的脚本。**检查/tmp/etc/cron.d`等目录，看是否存在定时任务脚本被篡改，用于维持持久化攻击。**
系统关键命令被替换
高级Rootkit（木马）会替换ls、ps、netstat、sshd等系统二进制文件，以隐藏恶意进程和文件。如果发现ls命令无法显示某些文件，或者文件大小与正常系统差异巨大，说明系统命令已被“劫持”。 应尽量使用静态链接的busybox工具，或者将硬盘挂载到安全环境中进行比对。
SUID与SGID文件排查
攻击者常利用SUID权限提权。使用命令find / -perm -4000 -o -perm -2000查找所有设置了SUID或SGID的文件。 重点排查非系统自带的可执行文件是否拥有此类特权，这往往是提权后门留下的痕迹。
账户安全与日志审计
系统日志是还原攻击路径的关键证据,也是判断是否中毒的重要依据。
暴力破解痕迹
检查/var/log/secure（Linux）或安全日志，寻找大量的“Failed password”或“Invalid user”记录。 如果在短时间内有大量来自不同IP的登录尝试，说明攻击者正在暴力破解SSH密码。一旦发现成功登录的日志，且来源IP陌生，必须立即判定为入侵成功。
异常用户与登录记录
执行w或who命令查看当前在线用户。如果发现不熟悉的IP地址连接到了服务器，或者存在两个来自不同地域的管理员同时在线，极有可能是攻击者已经获得了系统控制权。 同时检查/etc/passwd文件，确认是否存在UID为0（超级管理员权限）的陌生账户，或者账户名被添加到sudoers文件中。
历史命令审计
查看用户目录下的.bash_history文件。攻击者在操作结束后通常会清空历史记录，如果发现某个管理员的历史记录异常短，或者包含wget下载未知脚本、chmod 777提权、iptables -F清空防火墙等危险操作，即可确认为中毒后的恶意操作痕迹。
专业检测工具与解决方案
除了人工排查,使用专业的安全检测工具能大幅提高准确率和效率。
病毒扫描工具
对于Linux服务器，推荐安装ClamAV进行全盘扫描，虽然它对未知病毒的查杀率有限，但能识别常见的Webshell和木马。对于Windows服务器，务必启用Windows Defender或安装企业级杀毒软件进行全盘查杀。
Rootkit检测工具
使用chkrootkit或rkhunter工具扫描系统底层，这些工具通过比对系统二进制文件的指纹、签名来检测系统是否被植入Rootkit。如果检测报告显示系统命令被修改或隐藏进程被检测到，说明系统内核层已中毒。
主机安全IDS/EDS
部署如云锁、安骑士、DeepSecurity等主机安全Agent。这些工具基于行为分析，能实时阻断异常文件写入、异常进程启动和暴力破解行为，是判断服务器是否中毒的“天眼”。
相关问答
问题1：发现服务器中毒后，第一步应该做什么？
解答： 发现中毒后，第一步必须立即断开网络连接（拔网线或禁用网卡），以防止数据进一步泄露、防止服务器继续对外发起攻击（如DDoS），并切断攻击者的控制通道，随后，进行现场取证（导出内存、日志），再尝试查杀或恢复系统，切勿在联网状态下直接进行查杀，因为攻击者可能通过后门感知到清理行为并立即销毁证据或破坏系统。
问题2：如何防止服务器再次被植入Webshell？
解答： 防止Webshell植入需要构建纵深防御体系。严格限制文件上传目录的执行权限，禁止上传目录直接运行脚本；部署Web应用防火墙（WAF），拦截常见的漏洞攻击Payload；定期更新Web程序（CMS）及组件，修复已知漏洞；开启文件监控（如inotify），一旦Web目录下有新文件创建或文件被修改，立即发送报警通知管理员。
