兼职客户服务器被黑了？别慌，教你一步步排查与加固安全

做后端开发或者接私活的朋友们，最怕接到的一句微信就是：“哎，服务器是不是有点问题，网站打得开了，但内容变得奇奇怪怪的。”

那一刻，真的是天塌了。最近我就遇上了这么一位客户的服务器被黑，虽然最后解决了， 但过程极其折腾。为了避免大家重蹈覆辙，今天就把这次排雷的过程和心得整理出来，希望能帮到各位。

网页被篡改，跳转到非法网站的示例

第一步：稳住心态，确认现场

听到“被黑”两个字，不要急着冲上去重启服务器或者改密码。先搞清楚现状：

1. 症状是什么样的？ 是网站被挂马、变成了菠菜站，还是 CPU 飙满、跑不动了？
2. 什么时候开始出现的？ 大概的时间点有助于查日志。
3. 有没有备份？ 这是最关键的一条，如果数据还在，哪怕重装系统都比留着一个被植入后门的系统强。

我的情况是，客户发现自己的商城首页被篡改了，跳转到了某个不可描述的网站。这时候，心里基本有数了：Web 层面大概率已经沦陷。

第二步：止损，切断对外连接

在没搞清楚黑客留下了什么之前，千万不要继续提供服务。

• 如果你的云服务商有安全组策略： 先把 80、443 端口全部封掉，只留 SSH（22）端口，并且限制允许登录的 IP（只允许你自己的 IP 或公司出口 IP）。
• 进系统检查进程： top 命令看一眼，有没有奇奇怪怪的进程在消耗 CPU。如果有陌生的进程，记下 PID，千万不要直接杀，先记下来。

第三步：日志排查，寻找蛛丝马迹

这是最硬核也是最耗时的部分。黑客再怎么掩饰，总会留下痕迹。

1. Web 访问日志 (Nginx/Apache)

去 /var/log/nginx/ (或 Apache 对应目录) 下找 access.log。

通过分析 Nginx 访问日志寻找攻击痕迹

如果不挂 VPN 或代理，大多数攻击者的 IP 会直接暴露。用 grep 命令搜索一些敏感词：

grep -E "eval\(|base64_decode|system\(|wget|curl" /var/log/nginx/access.log

如果在日志里看到大量的 POST 请求，或者 UA 头是奇怪的脚本扫描器，那基本就是攻击入口。特别是那些针对未授权接口、旧版本插件漏洞的扫描。

2. 系统登录日志

看看除了你之外，还有谁登过这台机器：

last
lastb # 查看登录失败的记录

如果看到一大堆来自国外的 root 登录失败记录，说明正在被暴力破解。如果有成功记录但你完全不知情，那大概率 SSH 密钥或者密码已经泄露了。

3. 受害文件分析

找到被篡改的网页文件（比如 index.php 或 index.html），看最后修改时间。对比那个时间点的日志，通常就能定位到黑客是利用哪个漏洞传的 Webshell。

常见的 Webshell 特征是一堆混淆过的代码，通常包含 eval、assert、create_function 等危险函数。

第四步：常见的入侵原因复盘

查完这次，总结了一下兼职/小项目最容易“中招”的几个坑，大家引以为戒：

1. 弱口令 + SSH 暴力破解 很多小项目为了图省事，Root 密码设的是 123456 或者 admin123。这简直是在给黑客发邀请函。

对策： 禁用 Root 远程登录，改用密钥登录；或者安装 Fail2ban 封禁频繁尝试登录的 IP。

2. Web 应用漏洞（CMS 插件/主题） 很多客户为了省几千块开发费，直接用 WordPress、Shopify 之类的现成 CMS，然后安装了一堆来路不明的破解插件。这些插件往往就是后门。

对策： 尽量少装插件，及时更新核心版本。如果是定制开发，代码里要做好输入过滤，防止 SQL 注入。

3. 文件权限过大 Web 目录为了图省事直接 chmod 777。一旦 Webshell 上传成功，黑客就能利用 Web 用户的权限修改系统文件，甚至提权。

对策： Web 目录不要给写入权限，只有上传目录给写入权限，且禁止执行脚本。

4. Redis/MongoDB 等中间件未授权访问 为了测试方便，把 Redis 绑定在 0.0.0.0 且没设密码。黑客可以直接连上去写 SSH 公钥，直接拿服务器权限。

对策： 内网部署，绝不暴露在公网；必须设置强密码。

第五步：系统加固与恢复

如果你能彻底清除后门（这很难），可以考虑恢复；否则，重装系统 + 从干净备份恢复数据 是最稳妥的。

恢复上线前，务必做好以下几件事：

1. 更新所有软件包：yum update 或 apt-get update。
2. 修改所有密码：数据库密码、FTP 密码、服务器后台密码、SSH 密码。
3. 部署 WAF（如果有条件）：比如云厂商自家的 Web 应用防火墙，或者 Nginx 自带的安全规则。
4. 做好异地备份：不要把备份文件放在同一台服务器上，否则黑客一锅端，你也跟着哭。

总结

服务器被黑不可怕，可怕的是被黑了还不知道是怎么黑的，过几天又被黑一次。

对于兼职做项目的我们来说，安全维护往往不是重点，但一旦出事，就是灾难级的公关危机。平时多花十分钟做做安全配置，真的能省下后面几天的通宵排雷。

希望大家的业务都顺顺当当，永远别收到那句“天塌了”的消息。如果有遇到过更离谱的黑客手法，欢迎在评论区分享，大家一起避坑！