大家好！今天石家庄华企立方网站建设公司为大家介绍下关于《阿里云服务器反弹Shell/Web入侵应急响应标准操作指南 (SOP)》的问题，以下是石家庄网站建设公司对此问题的归纳整理，让我们一起来看看吧。

阿里云服务器反弹Shell/Web入侵应急响应标准操作指南 (SOP)

适用场景：阿里云安全中心告警“反弹Shell网络外连”、“代码执行”、网站被植入后门（WebShell）、服务器被黑客控制。

处置逻辑：控制台阻断 ➔ 登录排查杀进程 ➔ 清除持久化后门 ➔ 漏洞修复与加固。

第一阶段：紧急阻断与止损（在阿里云云控制台操作）

1. 封禁恶意IP（切断通道）：

   查看告警详情，找出攻击者的IP（例如 `105.224.145.37`）。

   进入阿里云 ECS 安全组，在入方向和出方向都配置拒绝该IP的规则，彻底切断攻击者与服务器的通信通道。

2. 隔离告警：在云安全中心告警列表，点击该告警右侧的“处理”，选择“隔离”或“结束进程”。

3. 备份快照：为防止后续操作失误导致数据丢失，建议先为当前服务器 ECS 系统盘创建快照。

第二阶段：登录排查，揪出幕后黑手

1. 远程连接服务器

建议通过阿里云控制台的 Workbench 或 VNC 方式登录服务器（防止因 SSH 被黑客篡改而无法登录）。

2. 定位恶意进程与父进程（顺藤摸瓜）

执行以下命令查看网络连接，找到发往异常IP或异常端口的进程：

bash

netstat -antp | grep ESTABLISHED

找到可疑的 bash、sh、python 进程，记录其 PID。

查看进程详情，重点关注它的父进程（PPID）和运行用户：

bash
ps -fp <刚才记下的PID>

(实战经验：如果发现用户是 `www`，父进程是执行 `uploads` 目录下脚本的进程，这就确认了是Web漏洞导致的)。

查看启动命令全貌，确认是否有恶意特征：

bash
cat /proc/<PID>/cmdline | tr '\0' ' '

立刻杀掉恶意进程：

bash
kill -9 <PID>

3. 挖掘并删除恶意文件

根据上一步查到的路径或阿里云告警详情页中的“进程路径”，找到对应的恶意脚本或二进制文件并删除。

精准搜索WebShell：去上传目录或缓存目录搜索危险函数（不要在 `vendor` 或 `weapp` 等正常业务依赖目录搜，全是正常代码，会产生大量误报）：

bash
grep -r "eval\|base64_decode\|system\|exec\|assert" /www/wwwroot/网站域名/uploads/ --include=".php

查找隐藏文件：黑客常把后门伪装成 `.` 开头的隐藏文件（如 `.2af...`）：

bash
find /www/wwwroot/网站域名/uploads/ -name "." -type f -exec rm -f {} \;

找到可疑文件后，使用 `rm -f 文件路径` 彻底删除。

第三阶段：清除持久化后门（防止死灰复燃）

黑客通常会留下自动重启机制，必须逐一排查：

1. 检查定时任务（最常见）

攻击者常把恶意命令写进定时任务里，让程序定期自动执行。

bash
crontab -l                 检查当前用户的定时任务
cat /etc/crontab            检查系统级定时任务
ls -l /etc/cron.             检查系统定时目录
cat /var/spool/cron/2>/dev/null  检查其他用户的定时任务
cat /www/server/cron/root      【重点】如果你装了宝塔面板，必须查这个！

如果发现陌生条目（比如指向 `/tmp`、`/dev/shm` 目录或恶意IP），使用 `crontab -e` 编辑删除对应行，或直接删除目录下的恶意文件。

2. 检查系统自启动服务与守护进程

部分恶意程序会伪装成系统服务，开机自动启动。

bash
systemctl list-unit-files | grep enabled

重点查看服务名是否有异常。如果发现可疑服务，执行 `systemctl stop <服务名>` 停止，再执行 `systemctl disable <服务名>` 禁用。

排查 Supervisor：很多黑客用 Supervisor 做进程守护（杀不死）。执行 `find / -name "supervisord.conf" 2>/dev/null` 查找配置，用 `cat` 查看里面有没有恶意的 `[program:xxx]` 段落，有则删除并重启服务。

3. 检查SSH后门（公钥文件）

攻击者可能把登录公钥写进文件，方便下次直接免密登录：

bash
cat /root/.ssh/authorized_key

如果里面有你不认识的公钥，直接删除那一行。

4. 检查系统级后门

开机自启：`cat /etc/rc.local`，看看有没有被塞入 `curl` 或 `bash` 执行命令。

动态库劫持：`cat /etc/ld.so.preload`，正常为空或文件不存在，如果有内容，大概率是 Rootkit。

第四阶段：系统加固与漏洞根治

1. 修复入口漏洞（最重要）

反弹Shell和WebShell通常是从Web漏洞（如文件上传、命令执行）或者弱口令进来的。

禁止上传目录执行PHP：修改 Nginx/Apache 配置，让 `/uploads/` 等可写目录下的文件只能被读取，不能被当作脚本执行。

排查业务代码：检查网站的上传接口，确保采用了白名单校验后缀，且限制了文件大小和真实 MIME 类型。

重点排查服务器上运行的Web应用，升级到最新版本；同时检查所有账户密码，特别是数据库密码和SSH密码。

2. 全盘查杀

在阿里云安全中心点击“病毒查杀”，对整个服务器做一次全面扫描；推荐服务器安装“河马Webshell查杀”或“D盾”进行一次深度扫描，确保没有其他隐藏的木马。

3. 终极方案：重置系统（更换镜像）

如果服务器被反复入侵、恶意进程依然会自动复活，或者怀疑系统命令被替换、内核被植入 Rootkit，最稳妥的方式是：备份重要数据（网站代码和数据库）后，直接重置系统盘。 这样能 100% 彻底清除攻击者留下的隐藏后门，但重置后务必第一时间修补网站漏洞。

《eyoucms网站被挂马怎么解决？怎么清除被挂马？》