腾讯云服务器被攻击了怎么办？从排查到加固的完整流程
先判断是哪种攻击
三种最常见的场景，对应不同的排查方向：①CPU 飙到 90%+——大概率是挖矿木马，`top` 看哪个进程在吃 CPU；②流量暴涨——可能被 DDoS 或站内文件被盗链，看流量监控图的时间分布；③网站被跳转到赌博页——网页被篡改，检查 Web 目录的文件修改时间。
排查命令五连
`top`（看异常进程）→ `last | head -20`（看异常登录记录）→ `netstat -tlnp`（看可疑端口监听）→ `crontab -l`（看有没有被植入定时任务）→ `find /tmp -type f -mtime -1`（看临时目录最近写入的文件）。
挖矿木马的典型特征：进程名是随机字符串、路径在 /tmp 或 /var/tmp、CPU 占用 90%+ 但 kill 掉几分钟又复活（有守护进程或定时任务在拉起）。
紧急处理四步
①断网隔离：安全组临时只放行自己的 IP；②查杀：确认恶意进程后 kill，并删除其定时任务和启动项；③改密码：root 密码和所有网站后台密码全部换掉；④升级：检查系统与 Web 程序是否有已知漏洞未修补。
事后加固清单
改 SSH 端口（22 换成高位端口）、禁用密码登录改用密钥、安装 fail2ban 自动封爆破 IP、Web 目录权限收紧（不放运行写权限）、定期更新系统补丁。做完这些，被再次入侵的概率下降一个数量级。
常见问题
先断网隔离（安全组只放行自己 IP），再按 top → last → netstat → crontab 顺序排查异常进程与登录记录，查杀恶意程序后全量改密并升级系统补丁。
大概率挖矿木马：top 找到异常进程，检查其路径是否在 /tmp 或 /var/tmp，kill 后检查 crontab 与系统启动项防止复活，最后全量改密并更新系统。
五件套：改 SSH 端口、密钥登录禁密码、fail2ban 自动封禁、Web 目录最小权限、系统与 Web 程序定期更新。轻量用户另可在控制台开启主机安全基础防护。