2026-10-24 · 技術
PHP高危漏洞正被大規模掃描利用，主機一旦被攻破就會被拉進殭屍網路對外發包。本文列出五個可自查的入侵訊號，並給出隔離、取證、重灌、改密的處置順序，幫你在被機房封停前發現問題。
最近一個 PHP 高危漏洞被大規模掃描利用，攻擊者在存在漏洞的主機上執行程式碼，把機器納入殭屍網路。很多人以為被入侵的後果只是網站被掛馬，實際上更常見的結局是：你的伺服器在不知情的情況下成了下一次 DDoS 攻擊的發射源，然後被機房限速、封 IP，業務跟著停擺。 被入侵的機器通常會留下痕跡。下面五個訊號，每一項幾分鐘就能查完。 一、凌晨的 CPU 和頻寬異常跑滿 正常業務有作息，攻擊工具沒有。如果監控顯示每天凌晨兩三點 CPU 衝到滿格，或者出方向頻寬持續跑滿，很可能機器正在對外發包。注意是出方向，這一條最值得警惕。 二、出現陌生程序和陌生定時任務 用 top 和 ps 看一眼，有沒有名字像系統程序、路徑卻在 /tmp、/var/tmp、/dev/shm 下的程式。再逐個使用者執行 crontab -l，檢查有沒有每隔幾分鐘拉起一次的可疑任務。 三、對外連線數暴漲 ss -anp 看是哪個程序在往外連。如果幾百上千個陌生連線掛在一個你從沒見過的程序上，基本可以確認出問題了。 四、登入記錄和金鑰被動過 翻一下 /var/log/secure 或 auth.log 的登入記錄，再看 ~/.ssh/authorized_keys 有沒有多出你不認識的公鑰。 五、網站檔案被改，出現陌生跳轉 對比入口檔案、模板檔案和 Web 配置的修改時間。等到搜尋引擎提示站點有惡意內容，往往已經過去好幾天。 確認被入侵之後，處理順序比處理速度更重要。第一步先隔離：切斷公網入方向，只保留管理 IP，既阻止攻擊者繼續操作，也避免機器持續對外攻擊被封停。第二步保留證據：做一次快照，把日誌和可疑檔案備份出來。第三步重灌系統，而不是手工清理：木馬常留多個後門，重灌加補丁才是可靠的收尾。第四步改密碼換金鑰：凡是在這臺機器上出現過的口令，都按已洩露處理。 日常防護能提前做的其實不多，但很有效：只開業務必需埠，管理埠不對全網開放；用金鑰登入並關閉密碼登入；系統和建站程式保持更新；再加一層高防或 WAF 兜住異常流量。 主機加固和流量清洗是兩件事，卻經常同時出問題。加速IDC 的雲伺服器、物理伺服器與高防伺服器（最高 1T DDoS 清洗）可以在同一套環境裡把兩邊一起配好，省去出事時到處找人的時間。
