阿里云服务器被攻击

当阿里云服务器被攻击时，很多用户会发现网站打不开、CPU 或内存占用异常升高、出现陌生进程、系统文件被篡改，甚至服务器被植入木马、挖矿程序或勒索软件。面对这种情况，不要盲目重启、删除文件或重装系统，应该按照排查、止损、加固、恢复的流程处理，才能最大程度降低损失。

一、先判断服务器是否真的被攻击

阿里云服务器被攻击通常会有以下表现：

• 网站访问异常，出现大量 502、504、403 错误；
• 服务器 CPU、内存、带宽占用突然飙升；
• 安全组、防火墙规则被修改；
• 出现未知用户、未知进程或异常计划任务；
• 日志中出现大量登录失败记录；
• 网站目录中出现可疑 PHP、JSP、ASP、Shell 文件；
• 数据库被异常导出或数据被加密；
• 云监控提示异常外联、异常连接或高危端口暴露。

如果发现这些现象，应立即进入应急处理流程。

二、第一时间进行止损

服务器被攻击后，最重要的是先控制风险扩散。

1. 限制公网访问

进入阿里云控制台，检查安全组规则，关闭不必要的端口，例如：

• 22：SSH 远程登录端口；
• 3389：Windows 远程桌面端口；
• 3306：MySQL 数据库端口；
• 6379：Redis 端口；
• 9200：Elasticsearch 端口；
• 11211：Memcached 端口。

如果业务不需要公网直接访问数据库或管理端口，应只允许指定 IP 登录，避免对全网开放。

2. 暂停异常服务

如果发现某个服务持续占用大量资源，可以先临时停止该服务，避免服务器继续被拖垮。例如 Web 服务、数据库服务、Redis 服务等。

3. 保留证据

在处理前，建议先备份关键日志和可疑文件，包括：

• 系统登录日志；
• Web 访问日志；
• 安全组变更记录；
• 异常进程信息；
• 可疑脚本文件；
• 网站目录备份。

这些资料有助于后续分析攻击来源和攻击方式。

三、排查攻击入口

阿里云服务器被攻击，通常与以下几个原因有关。

1. 弱密码被爆破

如果 SSH、RDP、数据库、Redis、后台管理系统使用简单密码，很容易被暴力破解。攻击者一旦拿到账号密码，就可以直接控制服务器。

建议检查：

• 是否存在陌生系统用户；
• 是否存在异常登录记录；
• 是否有失败的登录爆破痕迹；
• 是否使用了 root 或 Administrator 默认账号。

2. Web 漏洞被利用

很多攻击是通过网站漏洞进入服务器的，例如：

• CMS 插件漏洞；
• 文件上传漏洞；
• SQL 注入；
• 反序列化漏洞；
• 后台弱口令；
• ThinkPHP、WordPress、Discuz 等框架漏洞。

如果网站目录中出现异常脚本文件，例如 .php、.jsp、.aspx 文件，并且文件名随机、内容经过加密，很可能是 WebShell。

3. 高危端口暴露

Redis、MongoDB、Elasticsearch、Docker API 等服务如果直接暴露在公网，且没有设置认证，很容易被攻击者利用。

常见风险包括：

• Redis 被写入定时任务；
• MongoDB 数据被批量导出；
• Docker API 被控制并启动恶意容器；
• Elasticsearch 数据被删除或加密。

四、检查系统是否被植入后门

服务器被攻击后，应重点检查以下几个方面。

1. 查看异常进程

Linux 服务器可以使用以下命令排查：

top
ps aux --sort=-pcpu
netstat -antp
ss -lntup

如果发现陌生进程、异常外联 IP、异常端口监听，应进一步确认进程路径和启动命令。

2. 检查计划任务

攻击者常通过计划任务实现持久化控制。

crontab -l
cat /etc/crontab
ls -la /etc/cron.d/
ls -la /var/spool/cron/

如果发现可疑任务，例如定时下载脚本、定时启动挖矿程序，应及时清理。

3. 检查启动项

systemctl list-unit-files
ls -la /etc/init.d/
ls -la /etc/systemd/system/

确认是否存在异常服务被设置为开机自启。

4. 检查网站目录

重点查看网站根目录、上传目录、缓存目录中是否存在可疑文件。对于 PHP 网站，可以重点排查包含以下特征的文件：

• 文件名随机；
• 文件大小异常；
• 包含 eval、base64_decode、assert、system 等函数；
• 修改时间与正常业务文件不一致。

五、恢复服务器安全状态

1. 修改所有密码

需要修改的密码包括：

• 阿里云账号密码；
• 服务器 root / Administrator 密码；
• 数据库密码；
• Redis 密码；
• 网站后台管理员密码；
• SSH 密钥；
• 应用配置文件中的敏感信息。

密码应使用复杂组合，避免使用生日、手机号、域名、公司名称等容易猜测的内容。

2. 开启 SSH 密钥登录

建议禁用密码登录，改用 SSH 密钥登录，并关闭 root 直接登录。Linux 服务器可以修改 SSH 配置，提高安全性。

3. 更新系统和应用

及时修复系统和应用漏洞，包括：

• 操作系统补丁；
• Web 框架补丁；
• CMS 插件更新；
• 数据库补丁；
• 中间件版本升级。

不要只清理木马而不修复漏洞，否则服务器很快会再次被攻击。

4. 恢复干净备份

如果服务器已经被严重入侵，最稳妥的方式是从干净备份恢复。恢复后必须立即修改密码、修复漏洞、调整安全组规则。

六、使用阿里云安全能力加固防护

阿里云提供多种安全能力，可以帮助降低服务器被攻击的风险。

1. 配置安全组

安全组相当于云服务器的防火墙。建议遵循最小开放原则，只开放业务必须端口。

例如：

• Web 服务只开放 80、443；
• SSH 只允许固定 IP 登录；
• 数据库不开放公网访问；
• 管理端口禁止对全网开放。

2. 使用云安全中心

云安全中心可以帮助检测异常登录、木马文件、WebShell、漏洞风险和基线问题。建议开启病毒查杀、漏洞扫描、基线检查等功能。

3. 接入 Web 应用防火墙

如果网站遭受 SQL 注入、WebShell 上传、恶意扫描、CC 攻击，可以考虑使用 WAF。WAF 可以过滤恶意请求，降低网站被入侵的概率。

4. 开启云监控和日志审计

建议开启云监控告警，对 CPU、内存、带宽、磁盘、异常登录、异常外联进行监控。同时保留操作日志和访问日志，方便后续追踪。

七、预防服务器再次被攻击

为了避免阿里云服务器再次被攻击，建议建立长期安全机制：

• 不使用弱密码，不共享服务器账号；
• 定期更新系统和应用；
• 数据库、Redis、MongoDB 等服务禁止公网暴露；
• 网站后台启用验证码、双因素认证；
• 文件上传功能限制后缀和大小；
• 定期备份网站和数据库；
• 对备份文件进行异地保存；
• 定期检查安全组规则；
• 对服务器权限进行最小化配置；
• 使用堡垒机或 VPN 管理服务器；
• 对重要业务开启日志审计和告警。

总结

阿里云服务器被攻击后，不能只简单删除可疑文件或重启服务器，而应按照“止损、排查、清理、修复、加固、备份”的流程处理。重点要关闭高危端口、修改所有密码、排查异常进程和 WebShell、修复应用漏洞，并结合阿里云安全组、云安全中心、WAF、云监控等能力建立长期防护体系。只有从根源上堵住攻击入口，并做好持续监控和备份，才能有效避免服务器再次被入侵。