Linux 伺服器惡意發包行為排查與防護完整指南

惡意程式發送大量封包會佔滿頻寬導致伺服器變慢。管理員需定期排查，本文提供木馬清理、漏洞修復的系統性檢查清單。

一、病毒木馬排查

1. 網路連線分析：netstat -antulp 檢視可疑連線，發現異常進程立即終止。
2. 計劃任務檢查：留意大寫 CRONTAB 等異常排程，清理惡意任務。
3. 常見木馬清理指令（謹慎執行）：

   chattr -i /usr/bin/.sshd; rm -f /usr/bin/.sshd
   chattr -i /usr/bin/.swhd; rm -f /usr/bin/.swhd
   rm -rf /usr/bin/bsd-port
   cp /usr/bin/dpkgd/ps /bin/ps
   cp /usr/bin/dpkgd/netstat /bin/netstat
   cp /usr/bin/dpkgd/lsof /usr/sbin/lsof
   cp /usr/bin/dpkgd/ss /usr/sbin/ss
   rm -rf /root/.ssh /usr/bin/bsd-port
   find /proc/ -name exe | xargs ls -l | grep -v task | grep deleted | awk '{print $11}' | awk -F/ '{print $NF}' | xargs killall -9

4. 掃毒軟體全盤掃描：使用 ClamAV、RKHunter 等工具。

二、伺服器漏洞排查與修復

1. 檢查帳號異常（不明帳號、空密碼帳號），停用/刪除可疑帳號。
2. 查看遠端登入紀錄（last、lastb），發現異地登入立即修改為強密碼（大小寫+數字+特殊符號，≥10 碼）。
3. 強化關鍵服務密碼：Jenkins、Tomcat、PhpMyAdmin、WDCP、WebLogic 等後台。
4. 檢查 Web 應用漏洞：Struts、ElasticSearch 等已知 CVE，升級至安全版本。
5. 資料庫、FTP、管理後台等所有認證點均採強密碼策略。
6. Redis 未授權存取防護：檢查 /root/.ssh/ 是否有駭客植入的公鑰，設定 requirepass、綁定 bind 127.0.0.1 禁止公網存取。
7. 第三方軟體依官方指引修補漏洞。

發現流量異常暴增時，優先斷網隔離，再依上述清單逐項排查修復。