判断服务器是否遭受攻击,不能仅凭单一现象下定论，而需要建立一套多维度的监控体系，核心上文归纳在于：通过综合分析系统资源负载（CPU、内存、带宽）、系统与网络日志、异常进程及文件变动，能够精准识别服务器是否正处于被攻击或已被入侵的状态。 攻击行为往往会在系统中留下痕迹，无论是资源耗尽型攻击，还是隐蔽的后门植入，都会打破服务器原有的运行平衡，以下将从资源监控、日志审计、网络连接分析及文件完整性四个层面，详细阐述如何专业地排查服务器攻击。
系统资源负载的异常飙升
服务器遭受攻击时,最直观的表现往往是基础资源的异常波动，攻击者为了达到瘫痪服务的目的（如DDoS攻击）或利用服务器资源进行非法运算（如挖矿病毒），会导致CPU、内存或带宽占用率瞬间达到峰值。
CPU与内存占用异常是判断攻击的首要指标，如果服务器在没有运行大型业务任务的情况下，CPU使用率长期接近100%，或者内存占用持续居高不下，这极有可能是中了挖矿木马，这类恶意程序会极度占用算力，管理员应使用top或htop命令查看进程列表，识别出占用资源极高的异常进程，值得注意的是，攻击者通常会采用进程名伪装技术，将恶意进程命名为类似systemd、nginx等系统常用服务名称，因此需要仔细核对进程的运行路径和启动用户。
网络带宽的异常流量则是DDoS攻击的典型特征，如果服务器的出站或入站流量突然激增，导致网络响应迟缓甚至断连，很可能正在遭受SYN Flood、UDP Flood等流量型攻击，通过iftop或nethogs等工具监控流量流向，若发现单一IP地址或少量IP段占用了大量带宽，即可确认为攻击流量。
系统与安全日志的深度审计
日志是服务器运行的“黑匣子”，也是追溯攻击源头的最权威证据，攻击者在实施入侵前通常会进行扫描，在入侵后会尝试提权或维持权限，这些行为都会在日志中留下特征。
登录日志的异常分析至关重要，在Linux系统中，通过检查/var/log/secure或/var/log/auth.log文件，可以重点关注暴力破解行为，如果日志中出现大量针对root账户或其他用户的失败登录记录（Failed password），且来源IP高度集中，说明服务器正在遭受SSH暴力破解，若发现成功登录记录（Accepted password）的时间段或地理位置异常（例如管理员在本地，却出现了国外的登录IP），则意味着服务器已被攻陷。
Web访问日志（如Nginx或Apache的access.log）则能揭示Web层面的攻击，管理员应重点检索日志中的HTTP状态码，大量的400、500错误可能意味着攻击者正在发送畸形数据包进行探测；而大量的200状态码配合极短的访问时间间隔，可能是CC攻击的特征，利用正则表达式搜索日志中是否包含union select、eval、base64_decode等敏感关键词，能有效发现SQL注入、Webshell上传等攻击尝试。
网络连接与进程端口的关联排查
攻击者入侵服务器后,通常会建立反向连接（Reverse Shell）以接收指令，或者开启特定的后门端口进行监听，检查网络连接状态是发现已成功入侵的关键步骤。
可疑的网络连接是识别后门的重要线索，使用netstat -antp或ss -antp命令列出所有网络连接，重点关注ESTABLISHED（已建立连接）和LISTEN（监听中）状态，如果发现服务器主动向一个未知的公网IP发起了连接，且该连接持续不断，这通常是挖矿程序正在连接矿池，或者是后门正在连接控制端（C2服务器），检查非业务端口（如大于1024的高位端口）是否处于监听状态，若发现不明端口在监听，必须立即追踪该端口对应的进程。
进程与端口的对应关系验证能防止被欺骗，攻击者可能会替换系统的ps、netstat等命令以隐藏自身进程，因此最可靠的方法是直接检查/proc文件系统，通过lsof -i:端口号可以精准查看到占用该端口的进程全路径，如果发现一个Web服务进程（如httpd）竟然发起了一个非标准的出站连接，这几乎可以判定该进程已被劫持或替换。
文件完整性与Webshell检测
攻击者在获取权限后,往往会篡改系统文件以维持持久化，或者在Web目录下上传Webshell脚本以获取后续控制权。
系统文件完整性的校验是发现篡改的基石，对于关键系统命令（如ls、ps、netstat、sshd），应检查其文件大小、修改时间是否与安装时一致，如果发现系统核心命令的修改时间非常新，或者文件大小异常，说明系统已被Rootkit入侵，检查/etc/cron.d/、/var/spool/cron/等定时任务目录，攻击者常在此写入恶意脚本以实现重启自启动。
Web目录的异常文件排查主要针对Webshell，攻击者会将Webshell伪装成图片文件（如.jpg.php）或藏在深层的目录中，管理员应重点查找最近修改时间异常的文件，特别是图片目录下出现的脚本文件，利用专业的Webshell查杀工具（如D盾、河马Webshell查杀）对网站目录进行扫描，能有效识别出经过混淆加密的恶意代码，一旦发现Webshell，说明Web应用程序存在漏洞，且攻击者已经获得了Web层面的权限。
构建专业的防御与响应体系
仅仅依靠人工排查是不够的,企业应建立自动化的安全防御体系，部署主机入侵检测系统（HIDS）和Web应用防火墙（WAF）是当前的主流解决方案，HIDS能够实时监控文件变动和异常进程，WAF则能在流量层面拦截SQL注入、XSS等常见攻击，定期进行漏洞扫描和补丁更新，关闭不必要的高危端口，限制SSH root直接登录，并配置强密码策略，是从源头减少被攻击风险的根本措施。
相关问答
Q1：服务器CPU占用率达到100%一定是被攻击了吗？
A： 不一定，CPU 100%首先应排查是否是业务程序代码死循环、数据库死锁或正在进行合法的大数据计算，只有在排除了业务自身原因，且发现进程名为随机字符串、伪装成系统服务或位于临时目录下的未知进程占用资源时，才能判定为攻击（如挖矿病毒）。
Q2：发现服务器被攻击后，正确的应急响应流程是什么？
A： 首先应立即切断网络连接（拔线或禁用网卡），防止攻击者继续操作或数据外泄；进行现场取证（备份日志、内存镜像、恶意文件），切勿直接重启导致证据丢失；利用备份恢复系统和数据；修补漏洞并修改所有相关账户密码后，再重新上线。
