2026-10-24 · 技术
PHP高危漏洞正被大规模扫描利用，主机一旦被攻破就会被拉进僵尸网络对外发包。本文列出五个可自查的入侵信号，并给出隔离、取证、重装、改密的处置顺序，帮你在被机房封停前发现问题。
最近一个 PHP 高危漏洞被大规模扫描利用，攻击者在存在漏洞的主机上执行代码，把机器纳入僵尸网络。很多人以为被入侵的后果只是网站被挂马，实际上更常见的结局是：你的服务器在不知情的情况下成了下一次 DDoS 攻击的发射源，然后被机房限速、封 IP，业务跟着停摆。 被入侵的机器通常会留下痕迹。下面五个信号，每一项几分钟就能查完。 一、凌晨的 CPU 和带宽异常跑满 正常业务有作息，攻击工具没有。如果监控显示每天凌晨两三点 CPU 冲到满格，或者出方向带宽持续跑满，很可能机器正在对外发包。注意是出方向，这一条最值得警惕。 二、出现陌生进程和陌生定时任务 用 top 和 ps 看一眼，有没有名字像系统进程、路径却在 /tmp、/var/tmp、/dev/shm 下的程序。再逐个用户执行 crontab -l，检查有没有每隔几分钟拉起一次的可疑任务。 三、对外连接数暴涨 ss -anp 看是哪个进程在往外连。如果几百上千个陌生连接挂在一个你从没见过的进程上，基本可以确认出问题了。 四、登录记录和密钥被动过 翻一下 /var/log/secure 或 auth.log 的登录记录，再看 ~/.ssh/authorized_keys 有没有多出你不认识的公钥。 五、网站文件被改，出现陌生跳转 对比入口文件、模板文件和 Web 配置的修改时间。等到搜索引擎提示站点有恶意内容，往往已经过去好几天。 确认被入侵之后，处理顺序比处理速度更重要。第一步先隔离：切断公网入方向，只保留管理 IP，既阻止攻击者继续操作，也避免机器持续对外攻击被封停。第二步保留证据：做一次快照，把日志和可疑文件备份出来。第三步重装系统，而不是手工清理：木马常留多个后门，重装加补丁才是可靠的收尾。第四步改密码换密钥：凡是在这台机器上出现过的口令，都按已泄露处理。 日常防护能提前做的其实不多，但很有效：只开业务必需端口，管理端口不对全网开放；用密钥登录并关闭密码登录；系统和建站程序保持更新；再加一层高防或 WAF 兜住异常流量。 主机加固和流量清洗是两件事，却经常同时出问题。加速IDC 的云服务器、物理服务器与高防服务器（最高 1T DDoS 清洗）可以在同一套环境里把两边一起配好，省去出事时到处找人的时间。
