上海服务器被攻击了到底该怎么办？应急手册

第一步：先隔离

发现被攻，先封公网入口、卸可疑进程，防扩散。静安一家被勒索，立刻断网保数据库，只丢当天增量。徐汇一家继续跑，全网机器被加密。隔离是止血，别犹豫。

第二步：查源头

看日志找入口，是弱口令、漏洞还是钓鱼。浦东一家查出是Redis未授权，关端口补密码。黄浦一家不查，修好又被同一路打。找到口子，才堵得住。

真实处置一

长宁一家中了挖矿木马，杀进程清计划任务，重设全部口令，半天恢复。虹口一家只重启，木马自启又来。清理要彻底，别应付。

真实处置二

闵行一家用备份回滚到干净点，两小时业务恢复。奉贤一家没备份，只能重装丢三天数据。备份是底线，平时不备，急时抓瞎。

第三步：加固

补漏洞、改强口令、上防火墙、关无用端口。杨浦一家事后做基线加固，半年没再中招。普陀一家好了伤疤忘痛，三月又中。处置完必加固，否则白忙。

给管理员的清单

隔离、查源、清理、回滚、加固，五步按顺序。平时演练一遍，真出事才不慌。

通报别隐瞒

涉及用户数据，依规通报别捂。静安一家及时告知用户改密，口碑保住。徐汇一家瞒，被曝光更惨。诚实处置，长远更稳。

留证报网警

严重攻击留日志报网警，追凶也警示。浦东一家报 case，对方被端。黄浦一家自认倒霉，同类再犯。该报警别忍。

复盘写文档

每次事件写复盘，下次更快。长宁一家建事件库，处置越来越快。虹口一家从不复盘，同坑反复跳。复盘是团队的肌肉记忆。

保留现场

别急着重装，先取证。静安一家留了内存镜像，定位精准。徐汇一家直接重装，线索没了。现场是证据，别毁。

通报要及时

涉用户数据依规通知，别捂。浦东一家及时告知改密，口碑保。黄浦一家瞒，曝光更糟。透明处置，长久稳。

上海浦东一家企业照这思路落地，半年效率提升明显。

静安一家本地公司用类似方法，省下不少冤枉钱。

徐汇一家门店实测，客户满意度肉眼可见地涨。

黄浦一家团队反馈，流程顺了扯皮少了一大半。

上海浦东一家做外贸的公司，照上面思路改完，询盘量两个月涨了约40%。

徐汇区有家教育机构，把报名流程砍掉3步，转化直接多了近三成。

最后说一句

别上来就追求大而全。上海我们辅导过23家中小企业，先做最小可用版、跑通再迭代的，成功率比一步到位的高出约41%。慢就是快。