服务器入侵排查指南：从零基础到实战技巧

1. 项目概述

作为一名从业十年的网络安全工程师，我经常被问到："服务器被黑了该怎么办？"这可能是每个运维人员最害怕听到的问题。今天我们就来聊聊应急响应中最关键的环节——服务器入侵排查，用最直白的方式带零基础的朋友们上手。

服务器入侵排查就像医生诊断病情，需要系统性地检查各种"症状"。不同于常规的安全防护，应急响应更注重时效性和准确性。当安全事件发生时，前24小时被称为"黄金时间"，这段时间的处置效果直接决定了损失大小。

2. 核心需求解析

2.1 为什么要学习入侵排查？

去年某电商平台被入侵，由于缺乏应急响应能力，导致用户数据泄露一周后才被发现。这个案例告诉我们：

1. 防御不可能100%有效，必须准备应急预案
2. 快速发现入侵可以最大限度减少损失
3. 规范的排查流程能避免二次伤害

2.2 零基础学习路径

对于完全没接触过安全的新手，我建议按这个顺序学习：

1. Linux/Windows基础操作
2. 日志分析基础
3. 常见攻击痕迹识别
4. 取证工具使用
5. 完整排查流程实践

3. 排查前的准备工作

3.1 必备工具清单

工欲善其事必先利其器，这些工具建议提前准备好：

• 分析工具：Sleuth Kit、Volatility、LogParser
• 网络工具：Wireshark、Tcpdump
• 系统工具：Autoruns、Process Explorer
• 辅助工具：Notepad++、7-Zip

注意：所有工具必须从官网下载，避免使用第三方修改版

3.2 建立应急响应环境

建议准备：

1. 干净的U盘（存放工具和收集的证据）
2. 备用电脑（用于分析）
3. 网络隔离设备（防止横向渗透）

4. Linux服务器排查实战

4.1 用户账户检查

第一件事就是检查用户账户：

bash复制# 查看所有用户
cat /etc/passwd
# 检查sudo权限
cat /etc/sudoers
# 查看最近登录
last

重点关注：

• UID为0的非root用户
• 异常的shell类型（如/bin/false）
• 最近新增的账户

4.2 进程分析

使用top命令查看实时进程：

bash复制top -c

关键指标：

• 异常的CPU/内存占用
• 奇怪的进程名
• 非root用户运行的高权限进程

4.3 网络连接检查

bash复制netstat -antp
ss -antp
lsof -i

重点关注：

• 异常的对外连接
• 不常见的端口
• 可疑的IP地址

5. Windows服务器排查指南

5.1 账户安全检查

使用命令：

powershell复制net user
net localgroup administrators

检查点：

• 隐藏账户
• 克隆账户
• 异常登录时间

5.2 服务排查

powershell复制Get-WmiObject win32_service | Select-Object Name,State,PathName | Where-Object {$_.State -eq "Running"}

重点关注：

• 路径异常的服务
• 伪装成系统服务的恶意程序
• 没有签名的服务

5.3 注册表检查

关键位置：

• Run键：HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• 服务键：HKLM\SYSTEM\CurrentControlSet\Services
• 启动项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

6. 日志分析技巧

6.1 Linux日志重点

• /var/log/auth.log（认证日志）
• /var/log/syslog（系统日志）
• /var/log/secure（安全日志）
• /var/log/btmp（失败登录记录）

分析命令：

bash复制grep "Failed password" /var/log/auth.log
grep "Accepted" /var/log/auth.log
lastb

6.2 Windows日志要点

重点关注：

• 安全日志（事件ID 4624/4625）
• 系统日志
• 应用程序日志

筛选命令：

powershell复制Get-WinEvent -FilterHashtable @{LogName='Security';ID=4624,4625}

7. 后门检测方法

7.1 常见后门类型

1. Web后门（PHP/ASPX）
2. 系统后门（SSH/RDP）
3. 内核级rootkit
4. 内存驻留型

7.2 检测工具

• Webshell扫描：D盾、河马
• Rootkit检测：rkhunter、chkrootkit
• 内存分析：Volatility

8. 入侵痕迹保留

8.1 取证基本原则

1. 优先保存易失性数据（内存、进程）
2. 使用只读方式挂载磁盘
3. 记录所有操作过程
4. 计算文件哈希值

8.2 关键证据收集

• 内存镜像
• 磁盘镜像
• 日志文件
• 网络抓包

9. 常见问题排查

9.1 服务器异常但找不到原因

建议检查：

1. 计划任务（crontab/schtasks）
2. DNS解析记录
3. 临时目录文件
4. 环境变量

9.2 工具无法运行怎么办？

可能原因：

1. 依赖库缺失
2. 权限不足
3. 系统版本不兼容
4. 被安全软件拦截

10. 个人经验分享

在实际应急响应中，我发现几个关键点：

1. 保持冷静：慌乱容易遗漏重要线索
2. 记录过程：每个操作都要记下来
3. 最小影响：避免影响业务正常运行
4. 团队协作：复杂事件需要多人配合

最后分享一个实用技巧：建立自己的检查清单（Checklist），每次按固定流程排查可以大大提高效率。我的清单包括：账户检查、进程检查、网络检查、日志检查、后门检查五个主要部分。