服务器被攻击怎么处理？
美国、香港服务器
服务器被攻击怎么处理？
06-05 来源:
一、紧急止损（1～3 分钟优先操作，云服务器先改安全组）
1. 云安全组应急管控
新增黑名单规则：优先级 5～15，策略拒绝、全部端口，拉黑攻击 IP / 网段，优先拦截恶意流量。
远程端口 3389/22 只保留自己固定公网 IP 白名单，删掉全网 0.0.0.0 放行。
非业务端口全部临时封禁；CC 打满带宽：只留 80、443，其余入站全拦。
2. 本机防火墙封堵
Windows：
cmd
netsh advfirewall firewall add rule name=AttackBlock remoteip=攻击IP action=block dir=in
Ubuntu(UFW)：
bash
运行
ufw deny from x.x.x.x
3. 资源爆满处置
CPU / 带宽跑满：临时停止网站、数据库、异常占用程序，防止系统卡死。
二、取证排查（不要立刻重启，避免丢失日志、恶意进程）
1、判断攻击类型
暴力破解（RDP/SSH 爆破）：安全日志大量登录失败记录（Windows4625 事件），海量 IP 扫描 22/3389。
CC 攻击：网站大量高频请求、带宽 / CPU 满载、大量不同 IP 访问页面。
入侵中木马 / 挖矿：陌生高占用进程、异常外网外联、多出不明管理员账号、定时任务。
2、导出关键日志
Windows：事件查看器导出安全日志；netstat -ano、tasklist导出连接与进程；查看 IIS 日志。
Linux：/var/log/ufw.log、/var/log/auth.log查看爆破记录，ss -tulnp查外联。
三、查杀清理后门
清理陌生账号
Windows：net user 可疑账号 /delete；Linux 禁用陌生账号、禁止 root SSH。
终止恶意进程
根据 PID 结束异常进程，删除对应源文件；检查开机启动项、计划任务（挖矿、远控最爱自启）。
系统修复 + 全盘杀毒
Windows：
cmd
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
启用 Defender 全盘扫描；Linux 安装杀毒软件查杀 webshell、木马。
勒索病毒加密：不要支付赎金，用异地备份还原。
四、全量改密 + 加固（核心根治）
全平台改密：系统管理员、数据库、网站后台全部更换 12 位以上强密码（大小写 + 数字 + 特殊符号）。
安全组标准化（沿用之前优先级方案）
1～20：黑名单封禁恶意 IP（拒绝）
21～40：运维 3389/22 仅自用 IP 放行
41～70：数据库 1433/3306 仅内网互通，禁止公网
71～99：80/443 全网开放
系统加固
Windows：开启账户锁定策略（5 次输错锁定 30 分钟）、禁用 SMB1.0、关闭 445/135 高危端口。
Linux：SSH 密钥登录、关闭密码登录、ufw 常态化开启 + 日志记录。
五、针对性防护
RDP/SSH 爆破：IP 白名单 + 账户锁定，绝不全网开放远程端口。
CC 攻击：接入云 WAF，配置访问限速、人机验证；大流量 CC 选用高防 IP。
漏洞入侵：定期系统补丁更新，中间件、PHP、数据库及时升级。
六、长效兜底
定时异地备份：系统快照 + 数据库异地备份，勒索病毒唯一自救方案。
日常巡检：每周查看防火墙日志，拉黑高频扫描 IP。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
