应急响应流程
当发现服务器被入侵且无法登录时，需立即执行以下步骤：
- 切断网络连接：通过物理拔线或云平台控制台禁用公网IP，防止攻击扩散
- 保护系统快照：对云服务器创建系统盘快照，物理服务器进行全盘镜像备份
- 收集日志证据：通过VNC连接或带外管理获取内存进程、网络连接、登录记录等信息
- 隔离感染主机：将受感染服务器移出生产环境，避免横向渗透
密码重置方案
云服务器场景
- 通过控制台重置：阿里云/腾讯云等平台支持在线重置实例密码，需验证账户所有权
- 使用VNC连接：部分Linux系统可通过单用户模式修改root密码
物理服务器场景
- Windows系统：使用PE工具修改SAM文件或启用隐藏管理员账户
- Linux系统：通过GRUB引导进入单用户模式执行passwd命令
安全加固建议
完成密码重置后应立即实施以下防护措施：
- 启用双因素认证（2FA）保护管理员账户
- 定期轮换密码并设置12位以上复杂组合
- 配置SSH密钥登录替代密码认证
- 安装HIDS系统监控异常登录行为
通过建立三层防御体系可有效应对此类事件：第一层网络隔离控制损失范围，第二层密码重置恢复访问权限，第三层安全加固消除后续风险。建议企业定期进行应急演练并保存系统修复工具包，确保关键时刻能快速响应
