要准确判断服务器是否遭受攻击，核心上文归纳在于通过多维度的系统监控与日志审计进行交叉验证，管理员需要综合分析系统资源负载异常、网络流量波动、关键系统日志以及可疑进程与文件变动，单一指标的出现可能仅代表故障，但当CPU飙升、带宽异常、大量失败登录记录以及未知进程同时存在时，基本可以确定服务器正处于被攻击或已被入侵的状态,以下是从基础排查到深度溯源的详细专业解决方案。
系统资源与性能监控分析
服务器遭受攻击时，最直观的表现往往是资源的异常占用，攻击者为了获取利益或破坏服务,通常会消耗大量的计算资源或带宽资源。
CPU与内存负载异常
使用top或htop命令查看实时资源占用，如果发现某个非核心业务进程（如名称随机的字符串）长期占用100%的CPU，或者系统整体负载极高但业务访问量很低，这极有可能是挖矿病毒正在运行，挖矿程序会通过劫持服务器算力进行加密货币挖掘，导致系统卡顿，如果内存占用率突然飙升且无法释放,可能存在缓冲区溢出攻击或内存泄漏型拒绝服务攻击。
磁盘I/O与读写速度激增
通过iostat或iotop命令监控磁盘读写，如果发现磁盘I/O使用率持续居高不下，且伴随着大量的写入操作，需警惕两种情况：一是攻击者在进行大规模的日志擦除或数据窃取；二是服务器正在遭受勒索软件的攻击，后者正在对文件进行高强度加密,此时应立即检查磁盘根目录或临时目录下是否存在大量异常的碎片文件或加密文件。
网络带宽吞吐量异常
利用iftop或nethogs工具查看流量走向，如果服务器的出站流量远高于入站流量，通常意味着服务器已成为“肉鸡”，正被用于对外发动DDoS攻击或发送垃圾邮件；反之，如果入站流量瞬间爆发导致网卡拥塞，则极大概率是遭受了SYN Flood或UDP Flood等流量型DDoS攻击,导致正常用户无法访问。
网络连接与端口状态排查
网络连接是服务器与外界交互的通道,也是攻击者进行控制回连和数据传输的路径。
可疑网络连接检查
执行netstat -antp或ss -antp命令，重点分析ESTABLISHED（已建立连接）状态，检查是否存在连接至境外IP或非业务相关IP的长时间连接，特别是对于被植入木马的服务器，攻击者通常会建立一个反向Shell连接，保持对服务器的控制权限，若发现非预期的端口处于监听状态,必须立即核实该端口对应的进程。
异常端口监听
攻击者往往会将恶意服务监听在非标准高位端口（如大于1024的随机端口）以规避检测，使用lsof -i:[端口号]查看端口对应的进程ID和执行文件路径，如果发现监听进程位于/tmp、/var/tmp或/dev/shm等可写目录下，这几乎可以确认为恶意后门程序,因为这些目录通常具有执行权限且容易被利用。
系统日志深度审计
日志是还原攻击路径最权威的证据，通过对关键日志的分析,可以精准定位攻击者的手段和时间点。
登录日志审计
检查/var/log/secure（Linux）或安全日志，重点关注Failed password字段，如果在短时间内出现大量针对root账户或其他用户的失败登录尝试，且来源IP分散，说明服务器正在遭受SSH暴力破解或撞库攻击，一旦发现日志中出现Accepted password但并非管理员本人操作的时间点,即代表攻击者已成功入侵。
Web访问日志分析
对于Web服务器，需分析Nginx或Apache的access.log，利用正则表达式检索常见的Web攻击特征，如SQL注入中的union select、and 1=1，XSS攻击中的<script>标签，以及文件包含漏洞中的路径穿越符，如果日志中出现大量针对特定敏感URL（如/admin、/phpmyadmin）的扫描请求,说明服务器正在被自动化漏洞扫描器探测。
系统内核与历史日志
检查/var/log/messages或dmesg输出，寻找内核级别的异常报错或OOM（内存溢出）杀进程记录，通过检查~/.bash_history查看攻击者执行过的命令历史，攻击者在提权后往往会修改该文件以消除痕迹，但如果发现历史记录被清空或出现异常的编译、下载、权限提升命令（如chmod 777、wget）,则证实了系统已被沦陷。
进程与文件完整性检查
当攻击者获得权限后，会留下持久化后门或篡改业务文件,因此必须对系统文件和进程进行深度清查。
恶意进程识别
除了常规的ps命令，建议使用ps auxf查看进程树，以识别父子进程关系，攻击者往往会将恶意进程伪装成系统服务名称（如将kthreadd伪装成kthreaddd），对于无法解释的进程，直接查看其/proc/[pid]/exe指向的实际文件路径，如果该路径已被删除,说明这是一个通过文件替换技术隐藏的恶意进程。
文件变动与Webshell查杀
利用find命令查找最近24小时内被修改的文件，例如find /var/www/html -mtime -1，重点检查Web目录下是否存在包含eval、base64_decode、gzinflate等危险函数的PHP脚本，这些通常是Webshell后门文件，检查系统关键二进制文件（如ls、ps、netstat、sshd）的MD5或SHA1哈希值是否与原始一致,以判断是否被Rootkit替换。
专业安全工具与防御体系构建
人工排查虽然精准，但在面对复杂攻击时效率较低,引入专业的安全工具能大幅提升检测的准确性和响应速度。
入侵检测系统（IDS）与主机安全软件
部署如OSSEC、Wazuh或云厂商提供的主机安全卫士（HIDS），这些工具能基于行为特征库实时监控文件完整性、系统调用异常，并自动阻断暴力破解和恶意代码执行，它们能够发现人工难以察觉的APT（高级持续性威胁）攻击行为。
流量清洗与WAF防护
针对Web层面的攻击，必须部署Web应用防火墙（WAF），有效拦截SQL注入、XSS等恶意流量，对于DDoS攻击，应接入专业的流量清洗服务，通过指纹识别和限流策略清洗攻击流量,确保业务连续性。
建立安全加固基线
定期进行漏洞扫描与补丁更新，关闭不必要的服务和端口，严格限制SSH登录，仅允许密钥登录并修改默认端口，实施最小权限原则,确保Web服务进程不得以高权限用户运行。
相关问答
Q1：服务器CPU占用100%一定是被攻击了吗？
A： 不一定，CPU 100%可能是业务代码死循环、数据库查询效率低或系统正在进行正常的备份任务，判断是否被攻击的关键在于确认高占用进程的身份，如果进程名称随机、路径位于临时目录，或者伴随大量异常的网络对外连接,则基本可以判定为挖矿病毒或恶意攻击。
Q2：发现服务器被攻击后，第一步应该做什么？
A： 第一步应该是断网隔离，立即拔掉网线或通过防火墙策略切断服务器对外的一切网络连接，这一步是为了防止攻击者继续窃取数据、利用服务器攻击其他目标，或者防止攻击者在发现被察觉后通过后门程序擦除攻击痕迹,为后续的日志分析和取证保留现场。
希望以上的排查思路和解决方案能帮助您有效应对服务器安全威胁，如果您在排查过程中遇到难以解决的异常情况，欢迎在评论区留言,我们将提供进一步的技术支持。
