VPS被入侵后应急处理与重装流程

怎么发现被入侵了

VPS 被黑不是小事，常见迹象有：CPU 突然跑满、出现陌生进程、网站被挂暗链、SSH 登录出现陌生 IP。新手常以为是机器卡，其实已经被挂了挖矿木马。发现不对劲，别犹豫，立刻进入应急流程。

第一步：切断和保留现场

先在商家后台把机器关机或断网，防止攻击者继续破坏。但别马上重装，先把数据备份出来。用商家的快照功能打一个快照，或者把重要文件打包下载，万一要溯源还能看。

第二步：判断怎么被攻破的

SSH 上去后，先看日志：last 看谁登录过，grep “Failed password” /var/log/auth.log 看爆破记录，top 找陌生进程。多数新手是弱密码被爆破，或者 WordPress 插件有漏洞。

• 弱密码 → 改强密码、改 SSH 端口。
• WP 漏洞 → 更新所有插件主题，删可疑插件。
• 后门程序 → 找到并删除，但很难清干净。

第三步：重装系统最省心

入侵过的机器，手动清理后门极难清干净，残留后门随时可能再被利用。最稳妥的做法是备份数据后重装系统，从零开始。重装后：

• 第一步就改 SSH 端口、禁用密码登录改用密钥。
• 装防火墙，只开必要端口。
• 从备份恢复数据，但要检查有没有被植入恶意代码。

第四步：加固防再犯

重装完别又裸奔。改强密码、禁 root 远程登录、用 SSH 密钥、装 fail2ban 自动封爆破 IP，定期更新系统和 WordPress。安全不是一劳永逸，是日常维护。

一句话总结

被入侵别慌，先备份再重装最省心，手动清后门迟早留隐患，重装一次比修补三天靠谱。

第四步：加固防再犯

重装完别又裸奔。改强密码、禁 root 远程登录、用 SSH 密钥、装 fail2ban 自动封爆破 IP，定期更新系统和 WordPress。安全不是一劳永逸，是日常维护。

一句话总结

被入侵别慌，先备份再重装最省心，手动清后门迟早留隐患，重装一次比修补三天靠谱。

被入侵应急流程

• 先备份数据，别慌。
• 重装系统最省心，别手动清后门。
• 重装后改强密码、禁 root、用密钥。
• 装 fail2ban 防再被爆破。

被黑了重装比修补快。手动清后门迟早留隐患，重装一次比折腾三天靠谱。安全是日常维护，不是出事才补。