如何发现香港服务器木马

发现香港（或任何地区）服务器上的木马，核心思路是异常行为排查 + 进程/文件/网络取证 + 持续监控。下面按实战流程给你一套可操作的方法。

一、先看“异常现象”（快速判断）

服务器中马常见征兆：

• CPU、内存、带宽莫名飙高
• 出现不明进程（名字像系统进程但路径不对）
• 对外大量连接（尤其是境外 IP）
• 文件被篡改、新增不明脚本
• 定时任务 / 启动项被改
• 账号异常（新增用户、SSH 密钥变化）

二、进程与网络连接排查（最关键）

Linux 服务器

top
ps auxf
netstat -antup
ss -antup
lsof -i

重点看：

• 不在 /usr/bin、/usr/sbin 的进程
• 连向境外（如香港以外）非常用端口
• 父进程是 www、nginx 但跑的是 bash

Windows 服务器

• 任务管理器 → 详细信息
• netstat -ano
• 用 TCPView / Process Explorer 看进程与连接

三、文件与目录排查

1. 查近期改动文件

find / -mtime -3 -type f

Web 目录重点看：

• .php、.sh、.py、.pl
• 名字怪异（如 x.php、cache.php）

2. 查隐藏文件

ls -la /
ls -la /tmp /dev/shm

3. WebShell 特征

常见特征：

• eval、base64_decode、system、exec
• 小文件大权限

可用脚本扫描（如：find /var/www -name "*.php" | xargs grep -l "eval"

四、启动项 / 计划任务（木马常驻点）

Linux

crontab -l
ls -la /etc/cron*
cat /etc/rc.local
systemctl list-unit-files

Windows

• 任务计划程序
• msconfig → 启动
• 注册表：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

五、账号与安全日志

last
w
cat /var/log/secure
cat /var/log/auth.log

看：

• 异常登录 IP（尤其境外）
• 新增用户
• SSH 密钥被改

六、使用安全工具（强烈建议）

Linux

• ClamAV（杀毒）
• rkhunter / chkrootkit（rootkit）
• lynis（安全审计）

Windows

• Windows Defender
• 火绒 / 360（服务器端谨慎）
• Sysinternals 套件

七、香港服务器特别注意

• 香港服务器常做中转 / 代理 / 爬虫
• 木马常伪装成：
• nginx、redis、mysql 进程
• 挖矿程序（XMRig 类）
• 若用于跨境业务，需区分正常代理流量 vs 木马外连

八、发现后标准动作

1. 断网或限 IP
2. 备份日志（别覆盖）
3. 杀进程 → 删文件 → 清计划任务
4. 改密码 / 重签密钥
5. 重装系统（若核心被控）

如果你愿意，可以告诉我：

• 系统是 Linux 还是 Windows
• 用途（网站 / 代理 / 游戏 / 爬虫）
• 已观察到的异常现象

我可以直接帮你写针对性排查命令或脚本。