服务器突然变得很慢，网站打不开，SSH连不上，或者云监控里带宽直接跑满，这种时候先别急着砸键盘。大概率是被人打了，或者被入侵了。慌是正常的，但接下来做的每一个操作，都会影响你能不能把损失压住、能不能快速恢复。
第一件事不是重装，也不是拔电源。先判断到底出了什么状况。如果是网站访问不了但服务器还能登录，上去敲个top，看看CPU和内存是不是被某个陌生进程吃满了。再敲netstat看看有没有大量外部IP连着你的端口。如果是带宽跑满，控制台里一般能看到流量图飙到天花板，这种多半是DDoS，也就是有人拿一堆机器往你服务器上灌垃圾流量。如果是SSH都登不上了，但云控制台的VNC还能进，那可能是SSH服务被搞了，或者系统负载太高把登录拖死了。如果是文件被加密、多出一堆README文件，那就是勒索软件，情况更麻烦。
确认被攻击之后，如果还能操作，赶紧把网络断掉。云服务器的话，去控制台把安全组规则改掉，只留你自己的IP能连22端口，其他全部拒绝。物理机就直接拔网线。这么做不是怂，是防止攻击者继续下载东西、横向感染，也防止你的服务器变成肉鸡去攻击别人。断网之后，如果条件允许，给系统盘做个快照。快照这步很重要，万一后面排查发现有些数据还得从被黑的系统里捞，快照就是你的后悔药。但别在已经被控制的系统里备份数据到本地，那等于把病毒一起打包带走。
接下来要保留现场。别急着重启，重启会清掉内存里的东西，很多攻击痕迹就没了。把当前的进程列表、网络连接、登录日志、系统日志尽量导出来。Linux下可以查/var/log/secure或者/var/log/auth.log，看看有没有陌生IP成功登录过。查crontab -l和/etc/cron.d，攻击者很喜欢在里面埋定时任务，过一段时间就重新下载后门。还要查/etc/passwd有没有多出来的用户，以及~/.ssh/authorized_keys里有没有不认识的公钥。Web服务器的话，看网站目录里有没有最近被修改过的陌生php、jsp文件，那些很可能就是webshell。如果自己不太懂这些，别硬扛，赶紧联系云厂商的安全团队，或者找专业应急响应的人来帮忙。DDoS的话，直接开工单让云厂商上高防清洗，自己硬抗没意义。
处理方式要看攻击类型。如果是DDoS，一般不用重装，把流量清洗掉，再加固防火墙策略就行。如果是入侵，比如被上传了webshell、被提权、被装了后门，最稳妥的做法是重装系统。别想着手动删几个文件就干净了，你永远不知道攻击者留了多少个后门。重装之前，把数据库和网站文件里的干净数据备份出来，但备份前一定要检查有没有夹带恶意文件。重装完之后，所有密码全改，SSH密钥重新生成，数据库密码、后台密码、云账号密码一个都别漏。如果买了备份服务，确认备份时间点是不是在被入侵之前，如果是之后的，那个备份也可能带毒。
恢复的时候，先把系统补丁打全，再把防火墙配好，只开放必要的端口。SSH别用密码登录，改成密钥登录，端口也可以换一个不那么显眼的。Web服务前面挂个WAF，能挡掉不少常见扫描和注入。装个fail2ban，有人反复试密码就自动封IP。数据库不要对公网开放，能内网访问就内网访问。这些事平时做可能觉得麻烦，但出事之后再补，代价会大得多。
还有一点，如果服务器是被勒索软件加密了，不要支付赎金。付了也不一定给你解密，而且会助长这帮人。老老实实从离线备份恢复。所以平时一定要有异地备份，最好有一份是离线的，不跟服务器长期连着。云盘同步那种不算，攻击者能摸到你的服务器，也可能摸到你的云盘。
整个事情处理完之后，花点时间复盘一下。攻击者是从哪个口进来的，是弱密码，还是没打补丁，还是Web程序有漏洞。找到原因，把对应的洞补上。不然下次还会被同一块石头绊倒。服务器安全这件事，没有一劳永逸，只有持续盯着。平时多看一眼监控告警，比出事之后熬夜抢救强得多。