凌晨三点，服务我的器提侵办手机疯狂震动。机房告警短信一条接一条：SSH端口被爆破，升黑登录尝试每秒超过两百次。客入爬起来打开笔记本，服务防火墙日志里那个来自东欧的器提侵办IP已经扫描了整整四个小时。这不是升黑电影情节，这是客入每个服务器管理员都可能面对的夜晚。

黑客入侵没有那么多花哨。服务绝大多数情况，器提侵办他们不是升黑用0day漏洞，而是客入用最笨的办法：扫端口、试弱密码、服务找未打补丁的器提侵办Web应用。我见过太多案例，升黑服务器被入侵不是因为技术多高深，而是因为redis没设密码、ssh用了默认端口、phpMyAdmin暴露在公网。这些基础问题，就像把家门钥匙放在门口地垫下面。

真被入侵了怎么办？第一步不是删文件，是断网。物理断开或防火墙全拒。先让攻击者失去通道，防止数据持续外泄。别急着看丢了什么，先止血。有个朋友当时急着删木马文件，结果攻击者通过内存中的进程继续控制服务器，他删了三天，对方改了三天，最后只能重装系统。

断网之后，别碰服务器上的任何工具。攻击者可能替换了ps、netstat、lsof这些命令，你看到的进程列表和网络连接可能是伪造的。用干净的U盘启动，挂载硬盘，再检查。这是最容易被忽略的细节，也是判断入侵范围的关键。

检查什么？看/etc/passwd里有没有新增的uid为0的用户，看crontab里有没有奇怪的定时任务，看/root/.ssh/authorized_keys里有没有陌生公钥。这三个地方是后门高发区。我还见过把后门藏在/var/tmp下的，文件名伪装成系统日志，大小只有几KB，但每隔五分钟就向外发送数据包。

如果确认被植入rootkit，别尝试清理。rootkit会修改内核模块，你清除用户态文件根本没用。最稳妥的方式是备份数据、重装系统。别心疼那点配置时间，跟数据泄露的风险比，重装成本低得多。我处理过一起案例，对方在服务器上留了内存马，每次重启就消失，但运行中的进程持续挖矿。折腾了两天，最后重装，十分钟解决。

恢复系统后，改所有密码。不是只改root密码，是数据库、FTP、API密钥、第三方服务回调地址，全部轮换。攻击者可能已经拖走了你的配置文件，里面存着各种凭据。有个客户被入侵后只改了服务器密码，结果对方用他数据库里的备份账号又进来一次，这次把整个数据库加密勒索了。

日志必须留存。把/var/log下的日志复制到外部存储，别只留在本机。攻击者通常会清理日志掩盖痕迹，但如果你有异地备份，就能分析入侵路径。这不仅是追责证据，更是下次防御的依据。我习惯把日志同步到对象存储，设置90天保留期，成本不高，关键时刻能救命。

最后说点扎心的：入侵检测永远比入侵防御重要。你无法保证不被攻破，但你可以保证在几分钟内发现异常。装个简单的文件完整性监控工具，比如AIDE，每天对比关键目录哈希。设置CPU和流量告警，挖矿程序会让CPU飙到100%，这个特征很显眼。别依赖云厂商的免费安全组件，那只是基础过滤，真正针对性的防护要靠你自己对业务的了解。

那次凌晨事件最后怎么解决的？我断网后检查，发现对方是通过一个旧版的Jenkins插件进来的，那个插件已经停止维护两年，我忘了升级。重装系统，更新所有组件，给Jenkins加了VPN访问限制。整个过程用了六个小时。后来我养成了习惯：每月第一个周末，花半小时检查所有服务的版本和补丁状态。麻烦吗？有点。但比起凌晨三点被手机震醒，这点麻烦不算什么。