服務器被植入肉雞後應急處置 SOP：立即遏制、徹底清理、持久防禦三階段

服務器被植入肉雞 (受控於攻擊者 C2) 是嚴重安全事件，需在「黃金 1 小時」內完成遏制，防止數據外洩、橫向移動、勒索加密。本文制定標準化三階段應急處置流程，含具體命令與驗證標準。

階段一：立即遏制 (發現後 15 分鐘內)

1. 修改所有高權限憑證
   系統管理員 (Administrator/root)、資料庫 root/sa、遠程桌面/SSH 金鑰、面板/後台賬號。
   密碼策略：≥16 位、大小寫+數位+特殊字符、不重用、存入密碼管理器。
2. 變更遠程管理端口 + 防火牆白名單
   SSH: Port 22222 (修改 /etc/ssh/sshd_config + systemctl reload sshd)
   RDP: 註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber (十進制)
   防火牆僅放行運維 IP 段 (公司出口 IP、堡壘機 IP)。
3. 排查異常端口與進程
   Windows: netstat -ano | findstr :LISTENING → 記錄 PID → tasklist | findstr → 定位可執行文件路徑 → 上傳 VirusTotal/微步/威脅情報平台研判。
   Linux: ss -antlp / netstat -antlp → 同步研判。
   發現不明進程立即殺掉並刪除二進制文件 (保留樣本取證)。
4. 清理非授權賬號
   Windows: lusrmgr.msc / wmic useraccount get name,sid 檢查隱藏賬號 (名稱以 $ 結尾、SID 異常)。
   註冊表 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 核對。
   Linux: cat /etc/passwd / awk -F: '$3==0 {print $1}' /etc/passwd 檢查 UID 0 賬號。
   刪除所有非業務必需賬號。
5. Web 服務降權運行
   Nginx/Apache/PHP-FPM 進程用戶設為 www-data/nginx/apache (非 root/Administrator)。
   網站目錄權限：chown -R www:www /web、find /web -type d -exec chmod 755 {} \;、find /web -type f -exec chmod 644 {} \;、上傳目錄僅賦予寫入權限，禁用執行權限 (mount -o noexec,nosuid /web/uploads 或 Nginx location ~ \.php$ { deny all; })。

階段二：徹底清理 (遏制完成後 4 小時內)

1. 啟用登錄審計 (Windows)
   gpedit.msc → 計算機配置 → Windows 設置 → 安全設置 → 本地策略 → 審核策略 → 「審核登入事件」「審核帳號管理」「審核對象訪問」全勾選「成功/失敗」。
   gpupdate /force 生效。
2. 安裝系統補丁
   Windows: WSUS/Windows Update 全部關鍵/重要補丁。
   Linux: yum update -y / apt upgrade -y 內核與核心庫。
3. Web 目錄完整性驗證
   對比 Git/SVN 版本庫 / 已知乾淨備份，diff -r 發現異常文件。
   重點檢查模板、緩存、上傳、配置文件目錄。
4. 資料庫、FTP 等服務源 IP 限制
   防火牆/安全組/資料庫 bind-address/GRANT ...@'10.0.0.%' 僅允許內網/運維 IP 訪問。

階段三：持久防禦 (清理完成後持續建設)

1. 部署主機入侵檢測 (HIDS)：OSSEC / Wazuh / 衛士 / 云鎖，監控文件完整性、Rootkit、異常登入、特權提升。
2. 建立漏洞管理閉環：月度掃描 (Nessus/OpenVAS) → 風險分級 → 修復驗證 → 關單。
3. 實施最小權限原則：服務賬號、資料庫賬號、API 金鑰、CI/CD 憑證全盤梳理降權。
4. 網絡微隔離：核心資料庫、管理平面、業務前端分區段，零信任策略 (默認拒絕，顯式放行)。
5. 定期滲透測試 / 紅藍對抗：年度至少 1 次授權實戰演練，驗證防禦有效性。

關鍵驗證指標 (KPI)

肉雞事件非單次清理可了，必須觸發「遏制→清理→防禦」全鏈路升級，將單點失敗轉化為系統免疫力提升契機。