分享悉尼服务器被黑后的排查和加固经验，建立完整的安全防御体系。
问题一：服务器被黑，CPU 跑满 表现：CPU 突然 100%，出现未知进程，SSH 登录异常。 可能原因：被植入挖矿木马；弱口令被爆破。 排查步骤：ps aux 看未知进程；last 看登录记录；netstat 看异常连接；检查定时任务。 快速修复：kill 恶意进程；删除恶意文件；修改所有密码；检查 SSH 密钥；重装系统（最稳妥）。
问题二：数据库被勒索 表现：数据库被清空，留下勒索信息。 可能原因：数据库弱密码；端口暴露公网；未做备份。 排查步骤：检查数据库访问日志；确认是否有外部访问；查看备份。 快速修复：从备份恢复；修改强密码；限制数据库端口仅内网访问；启用审计。
问题三：Web 应用被注入 表现：网站出现异常内容，数据库被篡改。 可能原因：SQL 注入；XSS；文件上传漏洞。 排查步骤：检查 Web 日志；分析恶意请求；审计代码。 快速修复：修复漏洞；清理恶意数据；启用 WAF；输入过滤。
问题四：SSH 被爆破 表现：日志大量 failed password 记录。 可能原因：SSH 暴露公网；弱口令。 排查步骤：grep sshd /var/log/auth.log；看攻击 IP。 快速修复：禁用密码登录，改用密钥；修改 SSH 端口；fail2ban 封禁；限制登录 IP。
问题五：DDoS 攻击 表现：服务器无响应，带宽打满。 可能原因：DDoS 攻击。 排查步骤：流量监控；日志分析。 快速修复：高防 IP；CDN 隐藏源站；机房清洗流量。
安全加固清单 1) 系统：最小化安装，关闭不必要服务 2) SSH：密钥登录，非默认端口，限制 IP 3) 防火墙：只开放必要端口，白名单策略 4) 数据库：强密码，仅内网访问，定期备份 5) Web：WAF 防护，输入过滤，HTTPS 加密 6) 监控：入侵检测，异常告警，日志审计 7) 备份：定期备份，异地存储，定期恢复测试
预防经验 1) 永远不要用弱密码 2) 重要端口不要暴露公网 3) 定期备份并测试恢复 4) 及时打安全补丁 5) 建立监控告警机制