网站服务器被加入僵尸网络的迹象

服务器反应突然变得迟钝，SSH登录需要重试多次才能连上，带宽占满但网站流量并没有显著增长，这些都是典型的危险信号。当你发现自己的服务器CPU风扇狂转，而网站上只有个位数的访客时，基本可以确定你的计算资源正在为别人打工。僵尸网络不会大张旗鼓地入侵，它更像是一种悄无声息的寄生，把你的服务器变成攻击链条上的一个节点，用来发送垃圾邮件、发动DDoS攻击或者挖矿。

这是最直观的指标。正常情况下，网站服务器的出站流量主要来自响应访客的HTTP请求。如果你的服务器角色单纯，没有做反向代理或大文件分发，却出现了持续的高出站带宽占用，尤其是在凌晨业务低峰期，问题就很严重了。登录服务器后，优先使用nethogs或iftop这类工具实时观察是哪个进程在疯狂发包。不要只看总流量图，那个粒度太粗。如果发现一个名为httpd或nginx的进程在与大量陌生IP的445、22或随机高端口通信，而不是标准的80或443端口，那它很可能正在执行扫描或暴力破解任务。还有一种更隐蔽的情况，攻击者会注入一个看似系统进程的恶意程序，比如取名类似于[kworker/0:0]但带有细微拼写错误，通过它来产生大量DNS查询流量，参与DNS放大攻击。

挖矿木马是僵尸网络最常见的变现手段。这类恶意软件会想方设法隐藏自己，通常被命名为syslog、dbus-daemon等看起来像系统服务的名字。检查时不要只依赖top命令，因为很多高级挖矿木马会检测到top启动就自动暂停运行。更可靠的做法是使用ps auxf查看进程树，找出那些没有通过systemd或init启动的孤儿进程。特别注意那些运行在/tmp、/dev/shm或/var/tmp目录下的可执行文件，正规的服务程序几乎不会从这些目录启动。如果发现一个进程的CPU占用率在99%左右，但用top看不到，可以尝试使用cat /proc/stat对比各核心的实时状态。有些挖矿程序还会修改/etc/ld.so.preload文件，劫持系统的读取函数，让你连ls都看不到恶意文件，这种情况需要用busybox这类静态编译的工具去排查。

僵尸网络为了保证持久化，一定会留下后门和自动启动机制。很多运维人员只检查crontab -l，这是远远不够的。恶意程序往往会修改/etc/crontab、/etc/cron.d/下的文件，或者在/var/spool/cron/crontabs/中直接写入条目。更狡猾的会利用anacron或者系统级的定时器。检查所有用户的计划任务，用for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l; done来遍历。同时要检查/etc/rc.local、/etc/init.d/以及systemd的服务目录/etc/systemd/system/下是否存在近期被修改的陌生服务文件。systemctl list-units --type=service --state=running可以列出所有运行中的服务，仔细核对每一个不认识的服务名，特别是那些描述字段为空或者乱码的服务。

服务器被纳入僵尸网络后，攻击者通常会创建一个隐藏的超级用户账户，或者直接窃取现有的SSH密钥。检查/etc/passwd和/etc/shadow文件，寻找那些UID为0的非root账户，或者近期被修改过的账户条目。用last命令查看登录记录，但不要完全相信这个输出，因为攻击者可以擦除wtmp日志。更可靠的是检查/var/log/auth.log或/var/log/secure，搜索Accepted、Failed password和new user等关键词。如果你发现日志文件突然变小或者有一段时间的空白，说明日志可能被轮转清理过，这正是入侵发生的痕迹。另外，检查~/.ssh/authorized_keys文件，看是否有你不认识的公钥被添加进去，很多僵尸网络会植入自己的公钥来保持访问权限。

僵尸网络节点需要与控制端通信来接收指令。用netstat -antp或ss -antp查看所有建立的连接，重点关注状态为ESTABLISHED且目标端口为非常见端口的连接。比如连接到某个境外IP的6667、8080、4444等端口，这些往往是IRC协议或自定义木马协议的控制通道。用lsof -i可以更详细地看到哪个进程和文件描述符在发起这些连接。如果发现一个合法的系统进程如crond或sshd在向外发起连接，那几乎可以肯定是进程被注入了。此时可以用cat /proc/[pid]/maps查看该进程的内存映射，寻找带有匿名映射且具有执行权限的区域，或者用strings /proc/[pid]/exe | grep -i 'http'来提取可疑字符串。

如果你的服务器安装了Sendmail、Postfix等邮件服务，但本身业务并不发送邮件，却发现在/var/spool/mail或邮件队列目录下有大量积压的邮件，那你的服务器很可能正在被用作垃圾邮件中继。用mailq命令查看队列，如果看到大量发往陌生域名、标题包含广告或钓鱼内容的邮件，立即停止邮件服务并清空队列。更隐蔽的垃圾邮件僵尸程序会自带SMTP引擎，根本不经过本地邮件服务，直接通过25端口对外发送。这时需要用tcpdump抓包分析，tcpdump -i eth0 port 25 -w mail.pcap，然后检查是否在大量发送HELO/EHLO命令。

僵尸网络程序喜欢藏在系统目录的深处。重点关注/dev/shm、/tmp、/var/tmp这些可写且通常noexec挂载选项被忽略的目录。使用find /tmp -type f -perm -111 -mtime -1查找近一天内被创建的可执行文件。同时检查/usr/bin、/usr/sbin、/bin、/sbin下是否有近期被修改的二进制文件，用rpm -Va或dpkg --verify可以校验系统包的完整性。如果发现/usr/bin/ps或/usr/bin/netstat的大小或修改时间与同版本系统不一致，说明这些基础工具可能被替换成了攻击者的版本，用来隐藏恶意进程和网络连接。此时必须用从干净系统拷贝的静态编译版本或busybox来替代使用。

当僵尸网络程序试图加载内核模块来实现隐藏或抓包功能时，往往会在dmesg或/var/log/kern.log中留下痕迹。搜索dmesg输出中的tainted、error、fail等关键词。如果看到某个内核模块加载失败，而该模块名称是随机字符串或模仿正规模块但拼写有误，这就是明显的入侵迹象。同时注意系统是否突然启用了IP转发，cat /proc/sys/net/ipv4/ip_forward如果返回1而你的服务器并非路由器，那它可能正在被用作跳板转发攻击流量。

一旦确认服务器已沦为僵尸网络节点，首要操作不是立即重启，而是先做内存和进程快照。用dd if=/proc/[pid]/mem of=/tmp/proc_dump.bin把可疑进程的内存dump下来，用于后续分析恶意软件的行为。然后用iptables临时切断所有非必要的出站连接，只保留你的管理IP访问权限。iptables -P OUTPUT DROP; iptables -A OUTPUT -d 你的管理IP -j ACCEPT; iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT这样的规则可以阻止恶意程序继续与控制端通信或发动攻击，同时不影响网站对外服务。接着用chkrootkit和rkhunter做快速扫描，虽然它们不能检测新型威胁，但对常见rootkit仍然有效。更深入的检测需要用clamav扫描整个文件系统，并配合yara规则去匹配已知的僵尸网络特征。

# 使用find查找最近一天被修改的可疑文件
find / -type f -perm -111 -mtime -1 2>/dev/null | grep -v '/proc/'

# 遍历所有用户的crontab
for user in $(cut -f1 -d: /etc/passwd); do 
    echo "=== $user ===" 
    crontab -u $user -l 2>/dev/null
done

# 检查所有监听端口及其对应进程
ss -tlnp | awk '{print $4, $6}' | sort -u

# 校验系统包完整性（Debian/Ubuntu）
dpkg --verify | grep -v 'c /etc/'

# 校验系统包完整性（CentOS/RHEL）
rpm -Va | grep -v 'c /'

执行上述命令时，注意看输出中是否有S.5....T这类标记，它表示文件大小、MD5校验和修改时间都发生了变化，对于/bin、/sbin下的关键二进制文件，这种变化是致命的。如果发现被替换的系统工具，不能直接删除，因为删除后系统可能无法正常工作。正确的做法是从同版本系统的安装包中提取原始文件覆盖回来，或者使用包管理器重新安装对应的包。

清理完恶意程序只是第一步，如果不堵住入口，几小时内服务器就会再次被感染。检查所有对外开放的服务，用netstat -tlnp确认每个监听端口的必要性。关闭所有非必要的服务，尤其是Redis、MongoDB等数据库如果无密码或弱密码暴露在公网，是僵尸网络最爱的入口。修改所有账户的密码，包括系统账户和服务账户，检查/etc/passwd中哪些账户的shell是/bin/bash或/bin/sh，确保这些账户都有强密码或禁用密码登录只允许密钥认证。在/etc/ssh/sshd_config中设置PermitRootLogin prohibit-password、PasswordAuthentication no，并限制允许登录的用户组AllowGroups sshusers。安装并配置fail2ban，设置对SSH、HTTP认证页面的暴力破解防护。最后，部署auditd来监控关键系统文件的修改，当/etc/passwd、/etc/shadow、/etc/crontab等文件发生变更时，你能够第一时间收到告警。

即使清理干净了，也建议在出口路由器或服务器本机部署流量监控。使用iptables的LOG target记录所有出站新连接的概要信息，或者部署ntopng来可视化流量流向。设置基线告警，当出站流量超过日常均值的200%时触发通知。对于使用云服务器的用户，利用云服务商提供的VPC流日志功能，可以记录所有网络接口的流量元数据，事后回溯攻击来源和横向移动的痕迹非常有效。记住，僵尸网络的操控者一旦发现一个节点失联，往往会尝试用备用后门重新连接，所以清理后的48小时内是观察关键期，保持高度警惕，反复检查进程列表和网络连接，直到确认环境彻底干净为止。