一、前言

服务器被入侵后，需通过系统日志、进程、端口、账户全面排查攻击痕迹，本节课完整教学 Linux 应急排查全套流程。

二、课堂排查五大维度

1. 账户排查：可疑新增后门账号、sudo 权限异常用户
2. 进程端口：陌生恶意进程、对外异常外联端口
3. 系统日志：登录日志 / 操作日志 /nginx 访问日志审计
4. 文件痕迹：可疑后门脚本、修改时间异常系统文件
5. 定时任务：挖矿、持久化后门 crontab 定时任务排查

三、全套排查命令（课堂整理）

附账户、进程、日志、定时任务全套查询命令，可直接复制服务器执行。

四、实训模拟入侵场景排查

模拟服务器植入后门、创建隐藏账号、添加恶意定时任务，完整溯源攻击痕迹。

五、入侵处置收尾

可疑进程查杀、后门文件删除、异常账户清理、服务器加固方案

六、总结

Linux 入侵排查是运维安全、等保应急响应核心能力，适配企业真实安全运维场景。