凌晨三点，系统我的漏洞手机警报响了。不是被黑闹钟，是客入服务器监控。系统日志里，侵办一个来自国外的系统IP正以每秒五次的速度尝试登录后台——密码字典攻击。我盯着屏幕，漏洞手指有点发凉。被黑这已经不是客入第一次了，但每次发生，侵办那种被扒光衣服暴露在互联网上的系统感觉，依然让人脊背发麻。漏洞

黑客已经进来了，被黑怎么办？客入别慌，先拔网线——当然，侵办如果是云服务器，就立即在控制台切断外网访问。这个动作比任何杀毒软件都有效。曾经有个客户，发现被入侵后第一反应是打开终端敲命令查日志，结果黑客正盯着他的屏幕，顺手删光了数据库。物理隔离永远是第一道防线，别给对手留反应时间。

切断网络后，别急着重启服务。很多管理员犯的最大错误就是立刻重启，试图恢复正常运营——这等于把犯罪现场打扫干净了。正确做法是：先做内存转储，把当前进程状态保存下来。黑客可能留下的后门进程、内存中的恶意代码，这些证据一旦丢失，后续溯源就成了无头悬案。我见过太多人，重启后系统“正常”了，但三天后再次被入侵——因为后门藏在启动项里，重启反而帮他激活了。

接下来要查登录记录和文件修改时间。重点看三个地方：/etc/passwd（账号文件）、计划任务、以及web目录下最近24小时内被修改过的文件。有个小技巧——用find / -mtime -1 -type f命令，能快速找出所有被改动过的文件。黑客往往会在网页源码里插入一句话木马，或者修改配置文件的数据库连接地址。这些痕迹，比防火墙日志更可靠。

我处理过最棘手的一次入侵，黑客用的是零日漏洞——官方还没发布补丁的那种。系统日志干干净净，没有任何异常登录。最后是靠检查对外连接数发现的：一台普通的Web服务器，居然保持着两百多个到境外IP的持续连接。这提醒我们，监控网络流量比盯着日志文件更有效。异常的外联行为，往往是后门程序最明显的特征——它总要回传数据。

清理完木马和补上漏洞后，别急着把服务器重新接入生产环境。先改所有密码——包括数据库、SSH密钥、甚至云平台账号。黑客可能已经下载了你的密码哈希，暴力破解只是时间问题。我习惯用密码管理器生成16位随机密码，每个服务独立，绝不重复。这一步麻烦，但能省掉下个月的第二次入侵。

最后，写一份事件报告。不是为了应付领导，而是记录攻击路径、时间线、和你的处置过程。下次再遇到类似情况，这份报告能帮你节省一半的排查时间。我自己有个“攻击案例库”，按漏洞类型分类，每次处理完都会补充细节。说实话，干这行越久越明白，黑客的进攻方式翻来覆去就那么几招，只是换了层皮。你的案例库越厚，下次反应就越快。

系统被入侵不是世界末日，但处理不当一定是。记住最核心的那条——先断网，再取证，后修复。别让慌乱代替了思考，也别让所谓的“业务连续性”绑架了你。数据没了可以恢复，但整个服务器变成黑客的肉鸡，损失就不是几小时宕机能比的。安静下来，一步一步来，你能把损失控制在最小范围。