Windows服务器被黑实录：攻击者留下的浏览器记录令人大跌眼镜

折腾服务器这么多年，遇到过无数次SSH暴力破解，也见过Linux下挂马挖矿，但就在昨天，我手里的一台Windows小鸡（VPS）竟然被黑了。

最让我没想到的是，这台机器被黑的原因，以及攻击者在里面干的事，完全颠覆了我对“黑客”的常规认知。今天就把这次排查过程复盘一下，希望能给大家提个醒，同时也算是一个难得的“涨姿势”现场。

Windows任务管理器显示高CPU占用和可疑进程

任务管理器显示异常的高CPU占用和可疑进程

最初发现问题，是因为这台平时只挂着一个轻量级爬虫脚本的机器，CPU和内存占用突然飙升。远程桌面（RDP）连上去一看，任务管理器里多了几个莫名其妙的进程。

最显眼的是一个奇奇怪怪的浏览器进程，而且似乎正在进行密集的网络请求。作为一个有洁癖的管理员，我肯定没在上面装这种东西。

浏览器搜索历史记录页面

浏览器中充满了关于“如何隐藏IP”、“免费代理”等关键词的搜索记录

我立刻检查了用户列表。好家伙，多了一个名为“Support”或者类似名字的隐藏用户，并且被加入了管理员组。看来，攻击者不仅拿到了权限，还稳稳地做了后门。

顺藤摸瓜，我打开那个浏览器（竟然是自带Edge或者Chrome的便携版），准备看看攻击者下载了什么恶意脚本。结果查看浏览历史记录的那一瞬间，我整个人都裂开了。

我以为我会看到黑客论坛、暗网交易链接，或者是病毒下载站。但现实是，历史记录里充满了最朴实无华的——百度搜索。

攻击者似乎在用我的服务器作为“肉鸡”，进行极其原始的搜索操作。搜索关键词涵盖了：“如何隐藏IP地址”、“免费代理IP socks5”、“流量点击器下载”、“宝塔面板安装教程”等等。

这哪里是像电影里那样敲击代码的黑客？这分明就是一个刚入门的“脚本小子”，或者是在做刷量、SEO黑帽的苦力。他入侵我的服务器，不是为了窃取核心数据，也不是为了部署高深的渗透工具，纯粹是为了把我这台配置尚可的机器当成一个免费的“点击工人”。

既然看到了他的行为模式，我也大概猜到了他是怎么进来的。

这台Windows小鸡为了方便远程调试，我之前临时开启了3389（RDP）端口，并且设置了一个自以为“够复杂”但实际上并不安全的密码。结合他搜索“免费代理”的行为，很可能是攻击者通过全网扫描3389端口，配合弱口令字典或者撞库，直接暴力破解进来的。

进来的流程大概是：

既然知道了原因，那就没法留着这台脏机器了。为了避免成为帮凶，也为了保护自己的隐私，我采取了以下措施，大家如果遇到类似情况也可以参考：

1. 立刻断网，备份数据 不要试图在被黑的系统上直接杀毒，因为你不知道系统内核已经被篡改到了什么程度。先快照备份重要数据（虽然这台里没什么重要的），立刻切断网络连接。

2. 必须重装系统 这是最彻底的解决办法。不要相信任何手动能清除的后门。控制面板里直接“重装系统”，一切归零。

3. 彻底更改端口策略 重装后，第一步就是修改RDP端口，不要使用默认的3389。或者更激进的方案是：直接关闭3389，全程使用VPN（如WireGuard）连接内网后再访问。这样就把攻击面完全挡在了防火墙之外。

4. 强制实施强密码策略 密码长度至少15位，且包含大小写字母、数字和特殊符号。如果记不住，请使用密码管理器。Windows本地策略里可以设置账户锁定阈值（比如输错5次锁定30分钟），能有效防止暴力破解。

5. 安装防火墙软件 如果是Windows Server，可以配置Windows Defender Firewall的高级安全规则，只允许特定的IP（比如你家里的固定IP或VPN内网段）访问管理端口。

这次经历虽然有点滑稽，但也给我们敲响了警钟。在公网上裸奔的Windows服务器，就像是一个没锁门还放着金银财宝的房子，总会招来不速之客。

现在的攻击者未必是技术高超的黑客，更多是利用自动化工具搞灰产的“捞偏门”人员。我们做好基础的安全隔离——改端口、用VPN、强密码，就能防住99%的入侵。

折腾服务器不易，大家且行且珍惜，千万别像我一样，给别人当了免费的“点击砖家”。