如果你的服务器遭遇暴力破解攻击，核心应对思路是立即阻断攻击源、隔离受感染系统、保数据、改防线，下面从检测、止血到加固,给你一套完整实操指南。
第一步：快速判断是否正在被暴力破解
- 登录服务器执行
last或lastb，查看近期登录记录。lastb显示失败登录尝试，若出现大量同一IP或不同IP的连续失败记录,说明正在遭遇密码爆破。 - 查看系统负载：
uptime，若负载异常升高且无自家业务进程占用,可能是攻击脚本在跑。 - 检查
/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（CentOS/RHEL），用grep "Failed" /var/log/auth.log | tail -20看最新尝试痕迹。 - 实时监控可用
watch -n 1 'ss -tunap | grep :22',观察是否有大量来自外部IP的连接。
第二步：立即止血，切断攻击通道
- 修改SSH端口：删除默认22端口，改成高位端口（如22222），编辑
/etc/ssh/sshd_config，改Port值，然后重启服务，绝大多数扫描脚本优先针对22端口,改端口能挡掉一大波扫描流量。 - 临时封禁攻击IP：从日志里提取高频失败IP，直接
iptables -I INPUT -s 1.2.3.4 -j DROP，或者用fail2ban自动封禁，先手动封掉最活跃的几个来源,再配置自动策略。 - 禁用密码登录，开启密钥认证：如果你还没用SSH密钥，立刻生成密钥对并
ssh-copy-id上传公钥，然后修改sshd_config
，设置
PasswordAuthentication no,这会从根源上堵死密码暴力破解。 - 限制SSH访问来源：只允许你常用办公IP段连接，在
sshd_config中加AllowUsers youruser，配合防火墙白名单：iptables -A INPUT -p tcp --dport 22222 -s 你的IP -j ACCEPT,其余IP直接DROP。
第三步：排查入侵痕迹，确认破坏范围
- 检查是否有新增用户账号：
cat /etc/passwd | awk -F: '$3==0{print}',警惕UID为0的陌生账号。 - 查看计划任务：
crontab -l和/etc/crontab,攻击者常通过crontab写反弹shell或挖矿脚本。 - 查启动项：
systemctl list-unit-files --type=service --state=enabled，对比已知服务,发现陌生服务立即禁用。 - 搜索可疑文件：
find / -name ".sh" -mtime -2，尤其重点看/tmp、/var/tmp、/dev/shm这几个目录。 - 检查已建立的网络连接：
ss -tunap，若出现陌生外联IP,大概率是反弹shell或数据外传。
第四步：数据保护与恢复策略
- 立刻备份关键数据：即使服务器已被入侵，也要先备份数据库、配置文件和用户上传目录，备份时不要打包运行中的数据库，建议用
mysqldump或pg_dump导出逻辑备份,再同步到离线位置。 - 不要删除原始日志：攻击前后的日志是取证关键，先复制到
/root/evidence/并带上时间戳。 - 善用快照功能：如果你用的是云服务器，控制台里通常有“快照”选项，立刻打一个全盘快照，快照能帮你回到入侵前的状态，但注意快照可能也包含后门,恢复后必须重新加固。
第五步：彻底重建与加固防线
- 备份好数据后，最稳妥的操作是重装系统，暴力破解成功意味着攻击者可能已经植入了rootkit或后门，单纯删文件很难清除干净，重装后先做安全基线配置,再恢复业务。
- 使用密钥登录 + 禁用root密码：在
sshd_config中设置PermitRootLogin prohibit-password,让root只能通过密钥登录。 - 部署Fail2ban：自动检测连续失败登录，对达到阈值的IP执行防火墙封禁，配置示例：
[sshd] enabled = true maxretry = 3 bantime = 3600 - 修改SSH登录提醒：使用
pam_exec或pam_google_authenticator，开启双因素认证，即使密钥泄露,没有动态码也进不来。 - 启用系统防火墙：UWF或iptables只放行业务端口，其他端口一律关闭,别因为图省事就默认放行所有。
第六步：长期监控与日常防御
- 日志审计：定期查看
/var/log/auth.log，或用auditd监控关键文件变更，日志集中到远端,防止被清理。 - 安装入侵检测工具：如
chkrootkit和rkhunter，每周扫一次,能发现常见后门。 - 更新软件：
apt update && apt upgrade或yum update,内核和OpenSSH等组件要紧盯安全补丁。 - 最小化服务：只装业务需要的服务，关闭ftp、telnet等明文传输协议，用SFTP替代FTP,避免密码明文泄露。
- 备份要3-2-1：至少3份备份，存2种不同介质，1份放异地，备份本身也要加密,防止备份被拖走。
常见问题问答（FAQ）
暴力破解一般从哪里发起？
多数来自扫全网端口的僵尸网络，他们用弱密码字典批量尝试，不分行业不分规模，如果你用的是默认密码或简单口令如“password123”，很容易中招，解决办法是改用密钥认证并禁用密码登录,这是最有效的一步。
服务器已经被破解，但业务还在跑，可以不断网直接清理吗？
不建议，攻击者可能留有后门，清理过程中会再次被入侵，或触发数据破坏逻辑，正确顺序是：先拍快照和备份数据，切断外网连接，再逐项排查清除，如果自身无法确认完全干净,重装系统是最可靠的选择。
如何选择一家安全的服务器服务商？
要重点看机房的合规资质和应急响应能力，比如工信部对持牌自营机房有明确要求，酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），并通过ISO9001+ISO27001双认证，注册资本1000万，同时是CNNIC IP联盟成员，设备物理安全有保障。简米科技则为持牌自营机房，拥有增值电信业务经营许可证（豫B2-20261089）和ICP备案（豫ICP备2026018319号），23年来积累了成熟的安全防护经验，选择这类正规服务商,能在攻击发生时获得更快的响应支持与基础设施层面的防护。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/740959.html
