云服务器被黑后该如何处理

云服务器被黑（入侵/挂马/勒索/挖矿等）后，应按“止损 → 取证 → 清理 → 加固 → 复盘”的流程处理，避免盲目重启导致证据丢失。
—
## 一、立即止损（优先做）
1. 断网/隔离
- 在安全组或控制台禁止公网访问（先保业务还是保证据，业务优先时先切流量）。
- 若为弹性 IP，可临时解绑或限速。
2. 冻结风险账号
- 修改 root / 管理员 / 数据库 密码。
- 禁用异常登录用户（passwd -l xxx）。
3. 停止可疑进程
- top / htop / ps aux 看 CPU、异常进程。
- 挖矿常见：kdevtmpfsi、mysqld_exploit 等。
4. 备份当前状态（重要）
- 对磁盘做快照（用于取证，不要覆盖旧快照）。
- 导出日志：/var/log/*、auth.log、secure、bash_history。
—
## 二、初步排查（找入口）
### Linux 常见检查点
- 登录记录：
- last、lastb、who
- 异常用户：
- cat /etc/passwd、/etc/shadow
- 定时任务：
- crontab -l、/etc/cron*
- 启动项：
- systemctl list-unit-files
- 网络：
- netstat -antp、ss -antp
- webshell：
- 查 eval、base64、POST 关键词
- 历史命令：
- history
### Windows
- 事件查看器（安全日志）
- 计划任务、服务、注册表启动项
- 杀毒 + 火绒 / Defender 扫描
—
## 三、清理与恢复
⚠️ 如涉及数据合规/勒索，不建议自行删文件，先报警或找安全公司
1. 删除后门、木马、webshell
2. 重装高危组件（Redis、MySQL、Docker 等）
3. 从干净备份恢复业务（不要用被黑时的备份）
4. 更改所有相关密钥：
- SSH key
- API Key
- 数据库密码
- 对象存储密钥
—
## 四、安全加固（防止再被黑）
- SSH
- 禁用密码登录，仅密钥
- 改端口、限 IP
- 防火墙
- 只放 80/443/必要端口
- 更新
- yum update / apt upgrade
- 最小化权限
- 不用 root 跑业务
- 监控
- 云监控 + 告警
- 登录异地提醒
- 备份
- 定期快照 + 异地备份
—
## 五、常见被黑原因（对照自查）
- Redis 未授权
- 弱密码 / 默认密码
- 漏洞未修（Log4j、WordPress 插件）
- 开放 22/3306 到公网
- 使用了来路不明的镜像
—
如果你愿意，可以告诉我：
- 系统（Linux / Windows）
- 现象（CPU 高 / 被勒索 / 网站跳转）
- 是否跑网站或数据库
我可以直接给你一步步命令级处理方案。