当服务器遭遇入侵时，宝塔面板自带的日志分析、文件校验和进程监控功能可快速定位异常。本文通过真实攻防案例，详解如何利用网站日志回溯攻击路径、比对文件指纹识别木马程序、配置防火墙阻断持续攻击，并附赠2023年最新服务器加固检查清单。
服务器登录异常怎么办？先查这三个日志
当发现ssh连接频繁掉线或出现陌生IP登录记录时，立即打开宝塔的安全模块。某站长曾通过/www/server/panel/logs/request.log发现凌晨3点异常登录，溯源发现攻击者利用phpMyAdmin未授权访问漏洞。建议：①筛选POST请求中执行系统命令的日志 ②比对正常时段的IP地理分布 ③重点关注含”union select”等SQL特征的请求。
排查清单：
- 网站日志：/www/wwwlogs/站点名称.error.log
- 面板日志：/www/server/panel/logs/panel.log
- 系统日志：/var/log/secure（SSH登录记录）
网站文件被篡改怎么处理？三步应急方案
某电商平台遭遇首页被植入赌博链接，通过宝塔的文件校验功能快速定位被修改的index.php。操作流程：①建立文件快照 ②设置监控目录 ③配置微信报警。关键技巧：比对文件修改时间与服务器流量突增时段，使用md5sum验证核心文件，对/public_html等目录设置只读权限。
快速查找24小时内被修改的php文件 find /www/wwwroot -name ".php" -mtime 0服务器持续遭受攻击？立即开启防御模式
当检测到CC攻击或端口扫描时，在宝塔防火墙中启用：①自动屏蔽频繁访问IP ②禁止非常用国家地区访问 ③设置URL关键词过滤（如admin.php）。某游戏服务器通过配置并发限制成功拦截每秒2000次的爆破攻击，具体参数：单IP最大连接数≤50，请求频率≤30次/秒。
紧急处理步骤：
- 断开服务器外网连接
- 创建系统镜像备份
- 重置所有账户密码
- 更新SSL证书和API密钥
入侵后如何彻底清理？专家级修复指南
某企业服务器清除木马后仍存在隐蔽通信，使用lsof -i:端口号发现异常进程。根治方案：①删除crontab中的恶意定时任务 ②检查/etc/ld.so.preload是否存在劫持 ③使用chkrootkit检测rootkit。推荐安装OSSEC+HIDS实现实时文件完整性监控。
FAQ：服务器安全自检高频问题
Q：如何判断是否残留后门？
A：运行`netstat -antp`检查异常外联，使用rkhunter扫描隐藏进程Q：免费防护工具有哪些推荐？
A：ClamAV查杀网页木马，Fail2Ban防御暴力破解，CrowdSec实现协同防御Q：宝塔面板自身如何加固？
A：修改默认8888端口，开启BasicAuth双重认证，定期更新到最新版本
