一次有代表性的挖矿木马事件值得复盘。某公司的一台测试服务器 CPU 长期满载，业务响应缓慢，起初按性能问题排查，升配无效后才转向安全视角，最终确认被植入挖矿木马。整个过程从入侵到确认拖了近两周，教训密度很高。
## 案例经过
现象从 CPU 曲线异常开始：一台测试用途的云服务器持续高位运行，进程排查发现一个陌生进程占用大半 CPU，进程名伪装成系统服务名。进一步检查发现计划任务列表里多了几条陌生条目，指向外部脚本地址；授权密钥文件里出现了陌生的公钥。入侵路径随后清晰：这台机器上跑着一个未设密码的 Redis，端口对公网开放，扫描器批量发现了它。
## 根因分析
未授权访问的 Redis 之所以能演变成系统入侵，利用的是两个条件的叠加。其一，Redis 的配置指令可以在运行中指定数据落盘路径：攻击者通过协议写入数据并指定保存位置，把要执行的内容写进计划任务文件或授权密钥文件。其二，服务以较高权限运行，写入的系统位置具备生效条件。公网暴露加无密码加高权限，三个条件凑齐，攻击链就通了。自动化脚本全天候扫描这类组合，被选中与业务价值无关，纯粹是端口形态撞上了特征。
## 修复过程
处置按步骤推进。先隔离：防火墙规则收紧，切断木马的外联与矿池连接。再取证：保留进程、计划任务、密钥文件的样本记录。然后清理：删除陌生计划任务与公钥，结束木马进程，排查是否留有其他后门。最后根治：Redis 设置强密码并绑定内网地址，公网暴露全部收回，服务切换到低权限账号运行，全面轮换服务器凭据。修复后持续观察 CPU 曲线，确认无复发。
## 复盘要点
这次事件的可复制教训：数据库类服务默认不应对公网开放，确有需要时密码与来源限制缺一不可；服务进程低权限运行，让写入系统位置的攻击链断在权限层；陌生的 CPU 异常先想安全再想性能，伪装进程名是木马的标配；计划任务与授权密钥应当纳入定期巡检清单。顺云控制台的防火墙规则与监控告警，能把这类暴露面与异常信号的管理成本降到很低。