云服务器网站被挂了马？入侵四个阶段、五类日志异常与十分钟自查

「网站被人挂了马，第二天才发现」——这件事在中小站点上很常见，而事后复盘往往发现：入侵不是一天完成的，从「被扫描」到「被拿下」通常要几天甚至几周。

而这几周里，日志里全是痕迹。这篇文章讲清「入侵的四个阶段」、给出「日志里该找的五类异常」、说明「为什么「装个防护插件」不一定够」、最后给一套「十分钟就能自查完」的动作清单。

五款高性价比档位速查

有需要云服务器的，可以先看这一张表——五个价位段每款都是高性价比，价格从 22 元拉到 480 元。

商家	推荐款	配置	带宽与流量	月费	日志留存是否够用
云途	HK.N4.A	2 核 2G 20G	200Mbps / 500G	22 元	20G 盘，日志最多留一周
isvoro	HK CN2 Core	2 核 2G 30G	100Mbps / 300G	25 元	30G 盘，能留两周
rabisu	Aydn VPS x8	4 核 8G 60G	—	34.5 元	60G 盘，能留一个月
zji	香港 BGP 在售机型	6 核 16G 480G	55Mbps / 1T	450 元	480G，日志可以留半年
sixtynet	LAX-MEDIUM	8 核 8G 160G	10Gbps / 20T	480 元	160G，足够留档

一、入侵的四个阶段

再补一个「扫描器的成本」。

「扫描」几乎零成本。

而「所以天天有人扫」。

所以「被扫」是常态,「被拿下」才是事件。

而<'rabisu'+'> 那种 8G 档，跑「限速 + 黑名单」很轻松。

再看「限速」。

「单 IP 限速」能挡住大部分暴力扫描。

所以「限速」是最便宜的削减手段。

还有一条：「限速」比「封 IP」省事。

因为「封」要维护名单。

再看「效果」。

「限速后」扫描还是来,但「打不动」。

所以「降速」比「拦截」稳健。

而这四点说明「防扫」不等于「封」。

而「降速」这种中间手段最实用。

再补一个「四阶段的时间跨度」。

「扫描」可能持续几个月。

而「试探到拿下」通常几天到几周。

所以「你有很长的反应时间」。

而<'云途'+'> 那种小盘，日志短,看不到长周期的痕迹。

再看「结论」。

「看不到」不等于「没发生」。

所以「日志留存」本身是一种防护。

还有一条：「留存」比「分析」更基础。

「没数据」就什么都分析不了。

再看「导出」。

「定期导出到别处」。

所以「机器被拿下,日志还在」。

而这四点说明「日志」是安全的「第一资产」。

而「第一资产」却最常被忽略。

再补一句：「四阶段」的意义是「让你知道现在在哪」。

因为「对策」完全不同:前两阶段靠「看」,后两阶段靠「断」。

所以「先定位阶段,再动手」。

而<'isvoro'+'> 那种 30G 盘，日志留存够你判断阶段。

再说一个「为什么前两阶段被忽略」。

因为「每天几百条 404」看起来很吵。

而「吵」就容易变成「直接屏蔽」。

所以「关掉噪音」的时候也关掉了线索。

而<'云途'+'> 那种 20G 盘，日志不够留就只能定期导出。

再看「正确做法」。

「不是屏蔽,是统计」。

所以「每天看一次 Top IP」。

还有一条：「Top IP」里总有熟悉的身影。

「反复出现的那几个」值得单独查。

再看「规律」。

「扫描器」的路径有固定模式。

所以「按路径聚类」能识别工具。

而这四件事都指向「把日志当数据,不当噪音」。

而「当数据之后,线索自己会浮出来」。

「被挂马」不是一次动作，而是一个过程。

阶段	日志里的痕迹	有没有告警
1 扫描	大量 404、可疑路径	没有
2 试探	同一 IP 反复请求同一入口	没有
3 拿下	后台登录成功、新文件写入	可能没有
4 落地	外链请求、可疑进程	通常有，但看不懂

四个阶段里，前两个持续很久且「完全不告警」——因为「扫描」在公网上是常态，每天都有几百个 IP 来敲门，多数站点就当噪音忽略了。所以「能不能早点发现」的关键不在第三、四阶段，而在「前两阶段有没有人看」。而这两阶段的痕迹虽然多，却有一个共同特征：它们都很「规律」。所以「按规律找」比「按关键词找」有效。

第一阶段。「大量 404」是最容易筛的。

所以「按 IP 统计 404 次数」就能排出来。

而<'云途'+'> 那种 20G 盘，日志要压缩才留得住。

第二阶段。「同一 IP 高频」是试探。

所以「按 IP 统计总请求数」。

判断方法：先按 IP 聚一次，再按路径聚一次。

两个维度都异常的，就是重点。

而<'zji'+'> 那种 480G 大盘，留半年日志毫无压力。

二、日志里该找的五类异常

再补一句：「访问日志」和「错误日志」要一起看。

因为「错误」里藏着「失败的上传」。

所以「两个一起筛」。

而<'zji'+'> 那种大盘机器，两个日志都留得下。

再补一个「响应比对的实操」。

「每天抓首页,存一份摘要」。

而「摘要变了就报警」。

所以「变化即信号」。

而<'zji'+'> 那种大盘机器，存一年的摘要也没多少空间。

再看「误报」。

「正常内容更新」也会触发。

所以「比对要排除「编辑区」」。

还有一条：「排除区」比「全量比对」实用。

而「只比「页脚和脚本」」够用。

再看「外链」。

「陌生的外链」是「落地」的最强信号。

所以「把外链做成白名单」。

而这四点把「内容监控」变成「一条命令」。

而「一条命令」才能长期跑下去。

再说一个「文件完整性」。

「记录一份文件的指纹清单」。

而「定期比对」就能发现「被改动」。

所以「指纹比对」是最直接的检出手段。

而<'rabisu'+'> 那种 60G 盘，放指纹清单毫无压力。

再看「清单的生成」。

「一条命令列出所有文件的指纹」。

所以「生成快,比对也快」。

还有一条：「清单要存在别处」。

「存在本机」等于「一起被改」。

再看「频率」。

「每天比一次」就够。

所以「定时任务」是最省事的做法。

而这四点把「找异常」变成「查差异」。

而「查差异」比「凭眼睛看」可靠一万倍。

日志量大，所以要按「五类特征」筛。

一：可疑路径——去请求「不该存在的文件」。

二：可疑方法——不该出现的上传、修改动作。

三：可疑来源——同一段 IP 反复出现。

四：可疑时间——深夜的批量请求。

五：可疑跳转——正常页面被塞了外部链接。

五类里，「第五类」最难从访问日志里看出来，因为它不在请求里，在「响应内容」里。所以除了看日志，还要做一件「便宜但常被忽略」的事：定时抓自己的首页，比对「有没有多出陌生的外链」。而这件事十行脚本就能做，效果却比任何防护插件都直接——因为挂马的最后一步一定要「在页面上塞东西」。

判断方法：五类各写一条筛选条件。

而<'rabisu'+'> 那种 8G 档，跑这种定时抓取绰绰有余。

第一类。「不该存在的文件」最有代表性。

所以「按扩展名筛」很有效。

第三类。「同网段」比「同 IP」更有用。

所以「按前两段聚」。

第四类。「深夜批量」是「自动化工具」的痕迹。

所以「按小时分布」一眼就能看出。

五类之外还有「第六类」:响应变慢。

而「突然变慢」可能是「在被跑脚本」。

三、为什么装插件不一定够

再补一个「权限的最小化」。

「程序不该用最高权限跑」。

而「最高权限」意味着「被拿下就全丢」。

所以「按需降权」。

而<'isvoro'+'> 那种档位，能为不同服务分账号。

再看「分账号」。

「每个服务一个账号」。

所以「一个出事,不影响其他」。

还有一条：「分账号」也让「排查更容易」。

因为「谁改的」一目了然。

再看「记录」。

「账号与用途一张表」。

所以「离职时能一次收干净」。

而这四点把「权限」从「概念」变成「可执行」。

而「可执行」这件事才有意义。

再补一个「插件之外的第三层」。

「系统层」的更新。

而「系统不更新」也是入口。

所以「每月看一次系统补丁」。

而<'rabisu'+'> 那种 60G 盘，留出「更新回滚」的空间。

再看「重启」。

「内核更新要重启才生效」。

所以「安排一个重启窗口」。

还有一条：「长期不重启」的机器状态复杂。

而「复杂」就难判断「有没有被改」。

再看「精简」。

「关掉不用的服务」能减面。

所以「默认装的服务」要复查一遍。

而这四点把「四层防护」补全。

而「补全」之后,单一层的失效不再致命。

再补一句：「四层」里最便宜的一层是「口令」。

而它恰好是最常被忽略的一层。

所以「先改密码,再谈别的」。

而「改密码」只要两分钟。

再说一个「插件自身的漏洞」。

「插件也是代码,也会被利用」。

而「装得越多,面越大」。

所以「少装、勤更新」。

而<'isvoro'+'> 那种档位，跑「精简站点」性能也更好。

再看「更新」。

「不更新的插件」是最常见的入口。

所以「每月查一次版本」。

还有一条：「停用的插件」也可能是入口。

「停用不等于删掉」。

再看「清理」。

「删掉用不上的」比「装新的」有用。

所以「做减法」这件事是安全的基本功。

而这四点说明「安全」有一半是「少」。

而「做少一点」这件事,其实并不需要花钱。

「装个安全插件」是常见做法，但它有边界。

插件能挡「已知的特征」。

挡不住「已登录后的操作」。

也挡不住「弱口令被撞开」。

所以插件的真实作用是「降低被扫中的概率」，而不是「保证不被拿下」。而现实中多数「被挂马」的站点，插件是开着的——问题出在「后台密码太简单」或者「插件本身有漏洞」。所以「安全」这件事里，「插件」只是四层中的一层，另外三层是「口令」「权限」「备份」。而只做一层，等于把门锁换得很结实但窗户开着。

判断方法：看「后台登录日志里有没有大量失败」。

有，说明「有人在撞密码」。

而<'isvoro'+'> 那种带独立控制面板的档位，能给后台再加一层访问限制。

第二层。「口令」是最便宜的一层。

所以「改强密码 + 开两步验证」。

第三层。「权限」指的是「程序能不能写自己的代码目录」。

所以「代码目录只读」能挡住一大半落地动作。

第四层。「备份」是唯一「被拿下也不怕」的一层。

所以「异地备份」是底线。

四、十分钟自查清单

再补一句：「清单」要写在「出事之前」。

因为「出事时」没人有心思写清单。

所以「今天就写一页」。

而<'spartanhost'+'> 那种整机产品，正好从零开始建「干净基线」。

再补一句：「自查」的目标不是「查出问题」,是「有基线」。

而「有基线」之后,任何变化都能看见。

所以「第一次自查」最重要。

而「第一次」就是「今天」。

再补一个「查文件的重点目录」。

「上传目录、缓存目录、模板目录」三处。

而「这三处最不该出现可执行文件」。

所以「按扩展名筛」最快。

而<'spartanhost'+'> 那种整机产品，能自己定目录权限。

再看「权限」。

「上传目录去掉执行权限」。

所以「即使传上来也跑不了」。

还有一条：「这一条比任何插件有效」。

因为它「从根上封死」。

再看「模板目录」。

「模板被改」最常见于「挂黑链」。

所以「模板目录设成只读」。

而这四点是「十分钟自查」里最值钱的四条。

而「做一次,长期有效」。

再说一个「自查的频率」。

「每周一次」是合理频率。

而「出问题才查」等于「事后」。

所以「固定时间查」比「想起来查」可靠。

而<'zji'+'> 那种整机产品，能自己控制「自查脚本」的运行时间。

再看「结果记录」。

「每次记一行结果」。

所以「有对比」才能看出变化。

还有一条：「没变化」也是一种记录。

「连续十周没变化」才说明「真的稳」。

再看「自动化」。

「能自动的别手动」。

所以「五项里能脚本化的全脚本化」。

而这四件事让「自查」从「负担」变成「习惯」。

而「习惯」才守得住。

不需要专业工具，十分钟就能过一遍。

一：看最新修改的文件。

二：看后台登录记录。

三：看有没有陌生进程。

四：看有没有陌生定时任务。

五：抓一次首页比对外链。

五项里，第四项「陌生定时任务」最容易被漏，也最值得查——因为「重新拉起」几乎是所有持久化手段的标配。而它藏在系统里，不在网站目录里，所以「查一遍网站文件」的人往往查不到。所以「自查清单」必须包含「系统层」这一项，否则就是「只查了房子,没查了水电」。

判断方法：五项各一条命令，跑完记结果。

而<'sixtynet'+'> 那种大端口，抓首页比对几乎不占带宽。

第一项。「最新修改的文件」最直接。

所以「按时间排序看前二十个」。

第三项。「陌生进程」要看「父进程」。

所以「父子关系」比「进程名」可信。

五项之外还有「第六项」:看「出站连接」。

而「陌生出站」是最强的信号。

五、被拿下后的正确顺序

再补一个「别在网上公开细节」。

「细节公开」等于「教别人怎么进」。

而「等修好再讲」更稳。

所以「先堵,后说」。

而<'云途'+'> 那种机器，能先「切到临时页面」减少曝光。

再看「临时页面」。

「维护页」比「错误页」体面。

所以「提前准备好」。

还有一条：「维护页」也能减少「用户猜测」。

而「猜测」会引发「更大恐慌」。

再看「告知」。

「简要说明 + 预计时间」。

所以「别写技术细节」。

而这四点说明「对外沟通」也是应急的一部分。

而「沟通」往往被当成「技术之外的事」。

再补一个「重建时要做什么」。

「系统重装 + 程序从备份恢复 + 数据从备份恢复」。

而「不要从「当前机器」复制程序」。

所以「程序要来自「干净来源」」。

而<'sixtynet'+'> 那种大端口，重建时下载依赖很快。

再看「数据」。

「数据也要查一遍」。

所以「数据里也可能藏东西」。

还有一条：「上传目录」最该查。

而「查」就是「按扩展名筛」。

再看「验证」。

「重建完跑一遍自查清单」。

所以「清单」是「闭环」。

而这四点让「重建」有明确终点。

而「有终点」才不会「越修越乱」。

再补一个「别自己删日志」。

「删日志等于删证据」。

而「证据」是「查入口」的唯一依据。

所以「先导出,再清理」。

而<'云途'+'> 那种 20G 盘，导出要趁早,否则被日志覆盖。

再看「快照」。

「快照」比「复制」快。

所以「出事第一件事是打快照」。

还有一条：「快照」也要「存到别处」。

否则「一起被删」。

再看「通知」。

「有用户数据」时要考虑告知义务。

所以「合规」也是流程的一部分。

而这四点都是「程序」层面的常识。

而「紧张时最容易跳过」。

再说一个「别急着找原因」。

「先止损,后找原因」。

而「找原因」可能要几小时。

所以「先隔离」能少损失几小时。

而<'sixtynet'+'> 那种大端口，做「切流量到备用机」很快。

再看「备用机」。

「平时就该有」。

所以「出事时才建」来不及。

还有一条：「备用机」要定期启动验证。

「从来没启动过」等于没有。

再看「演练」。

「每季度演练一次」。

所以「顺序」要练过。

而这四点说明「应急」的本质是「准备」。

而「临时想」永远比「提前写」慢。

如果真的被拿下了，处理顺序比处理速度重要。

一：先断外联（不是先删文件）。

二：留证据（快照、日志）。

三：查入口（不要只清结果）。

四：换密钥与口令。

五：从干净备份重建。

五步里，最常做错的是第一步和第三步：多数人「先删掉可疑文件」，结果「入口还在」，两天后又回来了。而「先断外联」能立刻止损，同时保住现场；「查入口」才是根治。所以「被拿下之后」的第一反应不该是「清理」，而是「隔离」。而这一个顺序差异，往往决定「是修一次」还是「修一周」。

判断方法：按这五步写成一页纸，出事先看纸。

而<'zji'+'> 那种大盘机器，做快照留证最方便。

第二步。「快照」比「手动备份」可靠。

所以「出事先打快照」。

第五步。「重建」比「清理」干净。

所以「干净备份」必须有。

五步之外还有「第六步」:事后加固。

而「加固」要把「入口」那条路堵死。

六、把入口堵上

再补一句：「加固」的终点是「能重建」。

而「能重建」= 「有干净的安装脚本」。

所以「脚本化安装」是最强的加固。

而「脚本」也意味着「换机器只要十分钟」。

再补一个「长期的做法」。

「每月一次「四项检查」」。

而「检查」比「防护」更省力。

所以「养成习惯」。

而<'isvoro'+'> 那种档位，跑清单脚本几乎不占资源。

再看「清单的演化」。

「每次遇到新问题就加一条」。

所以「清单越用越长」。

还有一条：「太长就跑不动了」。

所以「保持十条以内」。

再看「优先级」。

「最容易发生的放前面」。

所以「顺序」也是一种设计。

而这四点让「安全」从「项目」变成「日常」。

而「日常」才真正有效。

再补一个「入口的验证」。

「堵完要再试一次」。

而「不试就当没堵」。

所以「复现一次原路径」。

而<'rabisu'+'> 那种 8G 档，跑复现测试很轻松。

再看「记录」。

「把入口、时间、手法记下来」。

所以「同类问题」下次能提前防。

还有一条：「手法」比「IP」有价值。

因为「IP 会变,手法不会」。

再看「分享」。

「同类站点互通一次」能省很多。

所以「经验」是最便宜的防护。

而这四点让「加固」变成「可积累」的事。

而「可积累」才越做越省力。

最后说「加固的重点」。

「把入口找出来」比「加更多防护」有用。

而「入口」通常只有一个。

所以「找到它、堵上它,比堆十层防护强」。

而<'云途'+'> 那种小配置，跑「精简站点」本身就少了几个入口。

再看「入口的常见来源」。

「后台弱口令、旧插件、上传功能、权限过宽」。

所以「四个来源挨个查」。

还有一条：「上传功能」是最该收紧的。

「能上传可执行文件」等于「门开着」。

再看「收紧方式」。

「只允许白名单类型」。

所以「白名单比黑名单可靠」。

而这四点合起来就是「堵一个口,胜过刷十层漆」。

而「口在哪」,自查清单会告诉你。

再看「复查」。

「堵完要验证」。

所以「再跑一遍自查清单」。

还有一条：「验证」要「从外向内」。

「在机器上查」看不到「外面怎么进来」。

再看「记录」。

「每次加固写一行」。

所以「半年后还知道改了什么」。

本文讨论网站安全事件的分阶段识别与自查方法，不针对任何具体商家，也不对任何产品的防护能力或安全性作评价与承诺。文中提到的四个阶段、五类异常、四层防护与五步处理顺序均为通用参考；实际入侵手法不断变化，同一现象可能有多种解释，自查结果不构成任何安全结论。文中所述命令与方法需在了解其影响后使用，建议在测试环境先行验证。本文不构成任何安全建议，亦不代表本站立场。因依据本文内容执行操作所产生的直接或间接损失，作者及本站不承担任何责任。