内容摘要：凌晨两点十七分，我正对着屏幕改方案，网速突然慢得像蜗牛爬。起初以为是运营商抽风，直到路由器指示灯狂闪如癫痫，我才意识到——完了，被入侵了。 别慌。先拔网线，物理断网。这招比任何防火墙都管用。我见过太多

凌晨两点十七分，网络我正对着屏幕改方案，被黑网速突然慢得像蜗牛爬。客入起初以为是侵办运营商抽风，直到路由器指示灯狂闪如癫痫，网络我才意识到——完了，被黑被入侵了。客入

别慌。侵办先拔网线，网络物理断网。被黑这招比任何防火墙都管用。客入我见过太多人第一反应是侵办杀毒，结果木马早就把键盘记录传出去了。网络断电断网，被黑先让攻击者失去通道，客入哪怕他正在你的系统里翻箱倒柜，也得瞬间变成瞎子。

断网后，别急着重装系统。很多人的习惯是格式化重来，觉得“干净了”。但证据呢？攻击路径呢？入侵者留下的后门呢？你重装一百遍，他要是早就在BIOS或引导区埋了东西，照样能卷土重来。正确做法是：用另一台干净的设备，把受害硬盘做成镜像文件，保存原始数据。这是给警察或安全人员留的“案发现场”。

接着查日志。Windows事件查看器、Linux的/var/log/auth.log，翻出最近几小时的登录记录。你会看到暴力破解的痕迹——成千上万次失败的SSH尝试，或者某个平时不用的账户突然在凌晨三点成功登录。我处理过一起案例，对方是个小公司的服务器，黑客用弱口令“admin123”直接登进去，把网站首页换成了勒索信。日志里清清楚楚，攻击者连代理都没用，IP直愣愣地指向国外某机房。不是每个黑客都高明，大部分靠的是撞运气。

如果发现数据被加密，勒索软件干的，别急着付比特币。付了钱也不一定给你解密密钥，给了密钥也可能留后门。先查备份——本地备份、云备份、离线磁带，只要有最近一次完整备份，直接恢复就行。我见过最惨的案例，备份硬盘和服务器连着同一个交换机，黑客顺手把备份也删了。所以备份必须物理隔离，这是血的教训。

处理完紧急情况，该琢磨怎么被进来的。常见路径有三条：一是钓鱼邮件，员工点了带宏的附件；二是未打补丁的漏洞，比如几年前永恒之蓝横扫全球，多少企业内网裸奔；三是弱口令，密码还是“123456”或“password”的，简直是在门口挂“欢迎光临”的牌子。你得一个个排查，别嫌麻烦。我有个朋友，排查到最后发现是家里智能摄像头被攻破，成了跳板。谁能想到呢？

最后，改密码。所有密码，包括但不限于邮箱、服务器、数据库、路由器管理后台。别用同一套密码走天下，也别用生日、手机号这种能被社工库撞库的。开启两步验证，哪怕麻烦点。我自己的习惯是密码管理器生成随机串，记不住就记不住，安全比方便重要。

事后复盘时，别只怪黑客。八成是自己防守有漏洞。这次被入侵，就当花学费买教训。下次记得关掉不必要的端口，定期更新补丁，给重要文件做离线备份。网络世界没有绝对安全，但至少别做那只最肥的羊。

哦对了，如果入侵涉及商业机密或公民隐私，记得报警。别觉得丢人，也别觉得警察不管。这几年网络犯罪案件立案门槛低了，只要证据完整，立案不难。我那个朋友后来配合警方抓到了攻击者——一个十九岁的大学生，纯粹为了炫技。你看，有时候威胁远没有想象中那么神秘。