1. 整体设计思路：为什么"排查"比"防御"更考验功底
接到这个标题的时候，我第一反应是想起早年间带团队处理过的那些应急响应现场。很多朋友问我，安全防护工具买了一堆，为什么还是会被入侵？其实答案很简单：入侵排查拼的不是工具堆砌，而是对人、系统、日志三者的理解深度。Windows和Linux作为服务器领域的两大主力系统，排查思路和手法差异很大，但底层逻辑是共通的——你需要在海量信息里找到那个"不对劲"的细节。
这篇内容主要写给三类人：
- 刚入门的安全运维工程师，需要一套可以直接上手的排查SOP；
- 开发兼运维的"全干工程师"，遇到服务器异常时能快速定位问题；
- 对系统安全感兴趣的技术爱好者，想建立完整的入侵排查知识框架。
我见过太多人在排查时犯同一个错误：一上来就翻日志，翻了半天找不到头绪，然后开始盲猜。真正高效的排查，前提是理解攻击者的行为链——信息收集、漏洞利用、权限提升、持久化控制、痕迹清理，每一步都会在系统里留下蛛丝马迹。你的任务不是漫无目的地搜索，而是顺着这条行为链逆向追踪。
这篇实战指南会带你走一遍完整的排查流程，从Windows的账号和进程入手，到Linux的日志和自启动项分析，每一块都会给出具体操作命令、判断标准和踩坑经验。我在实际项目中试过这套方法，正常情况下一台服务器从发现异常到定位入侵源头，熟练的话30分钟内能出初步结论。
2. Windows系统排查：从账号到日志的层层筛网
2.1 账号安全验证：最先要看的就是"谁在系统里"
Windows入侵排查的第一步，永远是对用户账号进行审计。攻击者拿到权限后，最先做的一件事就是创建一个隐藏账号来保住自己的入口，这个操作简单、隐蔽，而且很容易被忽略。
打开命令行，输入以下命令查看系统所有用户：
net user正常情况下这个列表应该和你预期中的账号清单一致。重点检查三类账号：Guest来宾账号是否被启用、近期新增的陌生账号、管理员组账号是否有异动。我遇到过一种比较狡猾的做法，攻击者创建了一个看起来人畜无害的名字，比如"Support"或者"Backup"，甚至模仿系统内置账号的命名规则，混在列表里不仔细看根本发现不了。
接着查看管理员组成员：
net localgroup administrators这里要特别留意那些"看起来不该存在"的成员。正常情况下，管理员组应该只有Administrator和你自己创建的管理员账号。如果发现陌生的管理员账号，基本上可以断定已经被渗透了。
还有一个容易忽略的地方是隐藏账号和克隆账号。隐藏账号是普通命令看不到的，需要用注册表查看。克隆账号更高级，它复制了已有管理员账号的权限属性，从表面看和原账号一模一样，但密码已经变了。排查方法是打开注册表编辑器，导航到以下路径：
HKEY_LOCAL_MACHINE\SAM\SAM不过普通用户权限无法直接读取SAM，需要借助一些系统工具或者以SYSTEM权限访问。在实际操作中，我会配合工具来查看，比如某些安全审计工具可以直接检测出克隆账号和隐藏账号，比手动翻注册表高效得多。
2.2 进程与服务排查：揪出藏在后台的"内鬼"
账号没问题，下一个重点就是进程审查。攻击者在攻破系统后，通常会植入木马或后门程序，这些程序再怎么能藏，也逃不过进程列表。
用命令查看当前所有进程，以及对应的可执行文件路径：
wmic process list full这个命令会列出每个进程的完整信息，包括进程名称、执行路径、命令行参数、父进程ID等。拿到列表后，重点看几个关键点：
- 异常进程名：和系统常规进程完全对不上号的名字，比如一串乱码、明显的工具特征；
- 进程路径异常：正常的系统进程路径都在C:\Windows\System32下，如果发现某个进程路径在临时目录、用户目录或者奇怪的目录下，基本可以判定有问题；
- CPU和内存占用异常：某个进程占了极高的CPU但你不认识，这就是优先排查对象。
Windows下的进程排查有一个实用技巧：用PowerShell查关联信息。我发现很多新手只看任务管理器，其实命令行才是排查利器。执行以下命令可以获取更详细的进程信息：
Get-Process | Select-Object Name, Id, Path, Company, CPU再配合服务排查，攻击者有时会把恶意程序注册成系统服务来开机自启。运行services.msc打开服务管理器，按"启动类型"排序，重点看自动启动的服务里有没有自己不认识的。注意有些恶意服务会用"默认值"的名字，比如模仿微软的服务名称，需要你逐个比对服务对应的程序路径。
2.3 日志与启动项分析：还原攻击发生的全过程
Windows事件日志是排查入侵的重要线索来源，相当于系统的"黑匣子"。很多朋友觉得事件日志太难读，因为里面全是数字ID和英文描述，但掌握规律之后，它是还原攻击路径最好的工具。
打开事件查看器（eventvwr.msc），重点看三个日志文件：
安全日志（Security）
- 登录事件（4624、4625）：查看是否有大量失败登录，或者异常时段的成功登录；
- 账号管理事件（4720、4722）：账号创建和修改的记录；
- 特权添加事件（4672）：管理员权限被赋予的时间点。
系统日志（System）
- 服务启动异常、驱动加载失败等记录，恶意驱动和Rootkit会在这里暴露行踪。
应用程序日志（Application）
- 异常程序运行报错、数据库/Web服务的异常操作记录。
排查登录事件时，重点关注登录类型。Windows的登录类型有11种，常见的是2（交互式本地登录）和10（远程桌面）。如果你发现在凌晨3点有人通过远程桌面成功登录，而你自己并没有这个操作，这就是一次明确的入侵证据。
启动项排查同样不能跳过。攻击者为了持久化控制，一定会把恶意程序加入自启动。打开任务管理器切换"启动"标签页，查看所有开机启动项。更全面的检查是运行msconfig查看系统配置，以及直接翻注册表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run这两个注册表路径下的启动项是重点审查对象。我处理过的一个案例中，攻击者把恶意脚本的名字命名为"WindowsUpdateService"放在Run键里，乍一看还以为是微软的系统更新服务，实际上指向的是一个Python脚本路径，这种细节不仔细看真的会漏掉。
2.4 恶意代码排查：补足最后一块盲区
网络连接排查和文件排查是Windows排查的收尾环节，主要回答两个问题：恶意程序在跟谁通信？恶意文件藏在哪里？
用netstat命令查看所有网络连接和监听端口：
netstat -ano重点看处于ESTABLISHED（已建立）或LISTENING（监听）状态的外联连接。服务器正常情况下只会连接有限的IP地址（比如数据库服务器、存储服务器等）。如果发现某个进程在主动往外连一个不在白名单里的IP，尤其是连接到境外地址或者动态IP，那就是典型的C2（命令与控制）通信特征。
找到可疑进程的PID后，用任务管理器定位对应的可执行文件，然后进一步处理。这里有个实用小技巧：把可疑IP拿到威胁情报平台做反向查询，看有没有已知的恶意记录，可以快速确认这是扫描器还是真实攻击。
最后是文件排查。需要重点检查的目录包括：
- 系统临时目录（C:\Windows\Temp和C:\Users\用户名\AppData\Local\Temp）；
- 下载目录；
- 安装目录下近期新增的可执行文件。
用以下命令查找最近7天内新建的文件：
Get-ChildItem C:\ -Recurse -File | Where-Object { $_.CreationTime -gt (Get-Date).AddDays(-7) } | Select-Object FullName, CreationTime查出来的文件注意看是否有以下特征：扩展名伪装（比如exe文件改成png后缀）、文件图标异常（一个图片图标但实际是程序文件）、首次出现时间正好和异常事件的时间吻合。
3. Linux系统排查：用命令构建一道"时间线"
3.1 账号与登录审查：从/etc/passwd找出不速之客
Linux入侵排查的第一步和Windows类似，也是审账号，但具体操作方式截然不同。先看系统里有哪些用户账号：
cat /etc/passwd这个文件会列出所有用户的信息，每行一个用户，字段之间用冒号分隔。看到结果后，重点检查两个地方：
UID为0的超级用户。正常情况下UID为0的只有root用户。执行下面的命令，如果发现除了root之外还有别的UID为0的账号，那说明系统被添加了管理员级后门账号：
awk -F: '$3==0{print $1}' /etc/passwd带shell登录权限的账号。检查哪些账号拥有shell环境，正常系统里能登录shell的账号很少（root和普通管理账号），如果出现一个陌生的用户拥有/bin/bash的shell，并且名字很陌生，就要警惕了。
然后是登录日志分析。Linux的登录记录主要有三个文件：
/var/log/wtmp：记录所有历史登录信息；/var/log/btmp：记录失败登录尝试；/var/log/secure（CentOS/RedHat系）或/var/log/auth.log（Debian/Ubuntu系）：记录了包括SSH登录、sudo提权在内的详细认证信息。
查看最近登录记录的命令：
last查看当前登录用户：
who查看失败登录记录：
lastb查看secure日志中所有SUDO使用记录，这一步可以发现攻击者提权的痕迹：
grep "sudo" /var/log/secure这里有个重要判断标准：如果btmp日志里出现大量IP的失败登录记录，但secure日志里同时又有来自同一IP段的成功登录记录，这说明攻击者做了暴力破解并且成功进入了系统。
3.2 进程与自启动排查：从"活着的程序"倒查"潜伏的脚本"
Linux下排查进程，首先要用的是ps命令，但我建议加上更丰富的参数：
ps auxf这个命令会以树状结构显示进程及其父子关系。攻击者的恶意程序通常不会被常规进程调用，所以看进程树能发现异常的子进程。比如你的Web服务进程（如Nginx）下面挂了一个bash，这就不太对劲了。
重点关注几个可疑特征：
- 进程名带空格或特殊符号：恶意程序为了伪装，会在进程名里加空格或者奇怪的字符，比如"bash "（bash后带空格），这样
ps显示的结果看起来是个正常过程，但实际上是另一个程序； - CPU占用异常高并且路径隐藏在/tmp、/dev/shm、/var/tmp：这三个目录是Linux下恶意程序的"温床"，攻击者经常把挖矿程序放在这里；
- 进程的启动时间正好在入侵事件前后：这个细节非常重要，能帮你快速锁定可疑进程。
找到可疑进程PID后，查看它的完整信息：
ls -l /proc/[PID]/exe cat /proc/[PID]/cmdline网络排查在Linux下同样重要，用以下命令查看端口监听和外联：
netstat -antlp ss -antlpss是netstat的替代命令，输出格式更清晰。查到的可疑IP记得做威胁情报查询，同时用lsof查看是哪个进程占用了可疑端口：
lsof -i :端口号自启动排查方面，Linux下的自启动加载路径比Windows分散得多，需要逐项检查：
/etc/rc.local（或/etc/rc.d/rc.local）：这是老牌的启动脚本，很多恶意程序会往这里塞启动命令；/etc/init.d/目录下的服务脚本：/etc/systemd/system/目录下的systemd服务单元文件；- cron计划任务：攻击者会利用crontab实现定时执行恶意程序，排查命令是：
cat /etc/crontab crontab -l ls -l /etc/cron.d/ ls -l /var/spool/cron/这里我遇到过印象比较深的案例：攻击者在/etc/cron.d/目录下放了一个自建的定时任务，文件名模仿系统默认任务，内容是每隔5分钟执行一次下载并运行恶意脚本的命令。cron.d目录下的文件会被系统自动读取，而且这个目录的权限控制经常被管理员忽略，所以成了攻击者非常喜爱的持久化手段。
3.3 Rootkit检测与日志分析：处理最隐蔽的后门手段
Rootkit是Linux下最高级的后门技术，它能够篡改系统内核模块或者替换核心系统命令（比如ls、ps、netstat），让恶意程序和文件完全隐藏，普通命令根本查不到。检测Rootkit的思路是绕过被篡改的命令，用替代手段查看系统真实状态。
首先利用软件包管理器校验系统命令的完整性，CentOS系执行：
rpm -VaDebian/Ubuntu系执行：
debsums校验结果的输出会列出被修改过的文件。如果发现/bin/ps、/bin/ls、/bin/login、/usr/sbin/sshd这些关键文件的状态有问题，那基本可以确认系统被植入了Rootkit。
然后使用专门的Rootkit检测工具做深入扫描，比如chkrootkit和rkhunter。这类工具的效果虽然不能说是100%全查干净，但能把常见Rootkit家族一网打尽，作为初步排查手段非常可靠。
再有一个排查思路是用find命令找异常文件：
find / -ctime -7 -type f -name "*.sh" -o -name "*.so*"这个命令会查找最近一周内创建/修改过的脚本文件和动态链接库文件。Rootkit加载的恶意模块通常以.so文件格式存在，重点关注那些位于/tmp、/dev/shm等非常规目录下的动态库。
日志时间线分析方面，Linux下有一个非常关键的排查心得：很多攻击者会使用"日志清洗"操作来清除入侵痕迹。判断方法是检查两个文件之间的时间连续性，如果/var/log/secure里的记录在某一段时间突然断了（比如从前一天下午一直在记录，到第二天上午的记录之间出现大段空白），这大概率是攻击者在清除这段时间的日志。
查看文件修改时间也能发现异常：
stat /var/log/secure ls -la /var/log/正常情况下日志是持续追加写入的，文件的修改时间应该是接近当前时间。如果某个日志文件的修改时间和当前时间差了好几天，说明这个日志已经被处理过了。
4. 常见问题与排查技巧实录
我整理了一份排查过程中高频出现的问题清单，这些问题都是在实际项目中反复遇到的，每条后面都附上了排查方法和避坑经验。</表格>
| 异常现象 | 排查步骤 | 经验技巧 |
|---|---|---|
| 服务器CPU突然飙升到100% | 1. 执行top -c查看CPU占用最高的进程2. 记录进程PID，用 ls -l /proc/PID/exe定位路径3. 检查/tmp或/dev/shm是否有异常文件 | 挖矿程序特征明显：CPU接近100%、进程路径在/tmp、外联IP不固定 |
| 出现暴力破解迹象 | 1. 检查/var/log/secure或auth.log 2. 统计失败登录IP： grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr3. 配合 lastb查看失败登录信息 | 如果大量失败后出现成功登录，说明已经被破解，需要立即改密码并查后门 |
| 网站被挂马 | 1. 检查Web目录下新增文件 2. 用 find -mtime -3 -type f查找最近3天新增文件3. 检查Web应用访问日志，定位异常请求 | 挂马文件通常以php、jsp等脚本为后缀，文件内容里混入了混淆过的恶意代码 |
| 网络异常外联 | 1. 用netstat -anp列出所有连接2. 筛选ESTABLISHED和SYN_SENT状态 3. 对可疑IP做威胁情报查询 | 一定要看进程ID和外部IP的组合，单看IP判断很容易误判 |
关于日志排查技巧，我在实战中总结出一个"时间线重建法"非常高效。做法是这样的：假设今天是5月10日，你在排查一台5月初异常的服务器，先通过stat查看关键日志文件的最后修改时间分布，然后根据账号创建记录、登录成功记录、进程运行痕迹，以时间线为轴逐步还原攻击者的完整操作序列。
比如时间线可能是这样的：
- 5月2日 02:13：出现来自某IP的SSH暴力破解记录；
- 5月2日 03:46：出现一次成功登录记录；
- 5月2日 03:47：创建了用户"sysadmin"；
- 5月2日 04:02：系统服务列表多了一个可疑服务。
你看，当这些日志片段串成了时间线，整个入侵过程就清晰了：攻击者通过暴力破解进入→立即创建了后门账号→投放了服务后门。按照这个顺序去验证，不会乱。
再补充几条新手最容易踩坑的注意事项：
不要直接删除可疑文件。在确认恶意程序之前，先把文件路径、进程信息、启动方式记录下来，最好做一份副本。之前处理过一个案例，运维把抓到的可疑jar包直接删了，结果程序是删了，但启动脚本还在，重启后恶意程序又自动下载了一份新的。正确的做法是先把启动项清理干净、杀掉进程，最后再处理文件。
排查时不要只盯着异常看，也要确认正常项。我自己在排查时习惯先用白名单方式过一遍：把已知的系统进程、已知的启动项、已知的登录IP先挑出来，剩下的才是有嫌疑的对象，效率比自己逐项判断高很多。
不要忽略环境变量和配置文件。Linux系统的/etc/profile、~/.bashrc、~/.bash_profile都有可能在登录时自动执行命令，攻击者可以把恶意脚本藏在这里。查看这些文件时注意有没有可疑的URL或者下载命令。
5. 实操建议与个人心得
这套排查方法我在实际项目中验证了很多次，从一开始的靠感觉盲找，到后来形成这套全面的排查框架，走了不少弯路。最终发现，排查入侵最核心的功夫不是会背命令，而是理解攻击者的行为模式。你把攻击者的每一步想清楚了，对应的排查命令自然而然地浮现在脑子里。
最后分享几个多年来评估下来的实用习惯：
备份优先。排查前先把关键日志（/var/log/secure、事件日志等）复制一份出来作为证据保存，同时备份系统配置。这既是为了保护线索不被后续操作破坏，也是为可能的司法过程留证。
操作要有记录。每次执行的排查命令和发现记录下来，特别是时间节点。排查工作通常持续时间较长，如果没有记录会出现"刚才那个IP究竟是从哪个日志里发现的"这种尴尬情况。
排查完之后分析不变。找到攻击入口、清理完恶意程序后，切忌直接恢复上线。需要把系统补丁检查一遍、密码强制全部重置、确认没有其他后门入口，这些功课做好再恢复服务不迟。
我之前碰到过一台被成功登录过多次的服务器，第一次排查时恢复了系统，结果一个月后又被同一批人成功登录。后来翻了历史数据才发现，攻击者在系统里埋了一个计划任务，每月定期把新密码写入系统文件，由于缺失了最后这一步分析确认，等于只是清理了一半。
入侵排查这件事，看起来高深，本质上就是在和时间赛跑，和攻击者隐藏痕迹的手法赛跑。希望这篇实战指南能帮你把Windows和Linux两端的排查方法真正落地，下次遇到异常情况时能更快地找到问题所在。我和同事们处理这类事情的体会是：排查思路比工具重要，执行速度比完美主义重要。建议先把今天这套流程练熟，将来遇到不断升级的攻击手段时，也能做到心里有底。
