Linux 服务器、宝塔面板中了勒索病毒怎么办？

Linux Web 服务器上的「勒索」其实有两种，处置方向完全不同，第一步就要分清。

删库勒索通常不需要任何恶意程序，能登录数据库就够了。Guardicore（现属 Akamai）披露的 PLEASE_READ_ME 行动从 2020 年 1 月开始，爆破公网 MySQL 的口令，把数据打包传走后从库中删除，留下名为 WARNING 的勒索表；其后台列出了来自 8.3 万台服务器的 25 万个数据库，并以泄露站施压。2017 年初的 MongoDB 删库潮则暴露了另一面：据 BleepingComputer 报道，多个团伙互相覆盖对方的勒索信，有的团伙根本不下载数据、只是删除，也有受害者付款后收不到任何回复。

所以删库勒索的问题不只是该不该付，而是付款前根本无法确认对方手里有没有数据、在哪一伙人手里。即使对方真的保存了，外泄已经发生，合规上的影响也不会因为付款而消失。我们的立场与 要不要交赎金 一致：不支付、不代谈判，把时间用在找数据上。两种手法也可能同时出现——JadePuffer 在公开事件中既就地加密了配置字段，又删除了业务库并留下 README_RANSOM 勒索表。

按可靠程度从高到低，依次看这几条路。

1. 备份与快照。 面板或脚本做的 mysqldump 导出、物理备份、云盘快照、从库。要特别核对备份放在哪：和数据库在同一台机器、同一块盘上的备份经常被一起删除；异机、对象存储或离线介质上的副本才是重点。

2. binlog 回放。 MySQL 官方文档说明，binlog 是时间点恢复的数据来源：先恢复一份全量备份，再用 mysqlbinlog 把备份之后的变更重新执行一遍，截止到删库语句之前。MySQL 8.0 默认开启 binlog，更早的版本和手工初始化的实例要逐台确认。它的局限也要清楚：binlog 记录的是变更，没有全量备份作起点时，只有保留下来的 binlog 覆盖了表从创建起的全部历史，才能单靠它重建；攻击者拿到高权限后也可能清理 binlog，所以要尽快把现存文件复制出来。

3. 磁盘层找回被删除的数据文件。 这条路取决于表空间布局。MySQL 文档写明，InnoDB 默认为每张表建立独立的表空间文件（.ibd），删除这类表后磁盘空间归还给操作系统——也就是说 .ibd 在文件系统层面被删掉了，但数据块在被新写入覆盖之前仍可能留在盘上，可以在镜像上找回文件，或按 InnoDB 页结构扫描抽取记录。表若建在共享表空间里，删除后空间只在 InnoDB 内部标记为可复用，尚未被复用的页同样可以扫描。两种情况的共同前提是：立刻停止对该分区的写入，所有操作在镜像上做。能恢复多少，取决于删库后写入了多少数据，我们不事先承诺比例。

4. 业务侧重建。 支付平台流水、第三方平台订单、缓存、日志与通知记录，可以补齐订单、会员等关键数据。

如果 ibdata1、.ibd 是被真正加密（改了后缀），页级修复与加密覆盖范围的判断见 MySQL 被勒索病毒加密。MongoDB、Elasticsearch、Redis 被清空时思路相同：先保住磁盘上的持久化文件、快照与副本节点，在副本上分析，不要急着重启服务或重建实例。

Linux Web 服务器的入口大多在对外暴露的那一侧，排查时按这几类逐一核对：

• Web 应用与组件漏洞。 框架、中间件、CMS 插件与业务系统的高危漏洞会被批量扫描利用，攻击者先写入 webshell，再加密网站目录和数据库目录。TellYouThePass 是这条路线的代表：2021 年 12 月它借 Log4j 漏洞投放，其 Linux 版本会收集 SSH 密钥在内网横向移动。
• 主机管理面板。 宝塔面板在 2020 年 8 月披露过数据库管理未授权访问漏洞，影响 Linux 版 7.4.2 与测试版 7.5.14、Windows 版 6.8，访问特定地址即可进入数据库管理页面，修复版本为 7.4.3、7.5.15 与 6.9.0。2022 年 12 月，不少宝塔用户报告 Nginx 主程序被替换、页面被注入恶意 JS、日志被清空；宝塔官方公告称暂未发现面板与 Nginx 的安全漏洞，并建议升级面板、修改安全入口与密码、开启双因素认证和防篡改，这次事件的入口至今没有公开定论。2026 年 2 月，Datadog 安全实验室记录到攻击者借 React2Shell 漏洞入侵后，用专门针对宝塔的脚本改写其管理的 Nginx 配置来劫持流量。cPanel/WHM 同样是目标，Sorry 勒索病毒就是借它的认证绕过漏洞批量入侵的。
• 数据库与缓存端口。 3306、27017、6379、9200 直接暴露公网，配合弱口令或未开认证，就是删库勒索的入口。Redis 官方文档明确不建议把它直接暴露在公网，并指出客户端可以用 CONFIG 命令把文件写到任意路径，进而可能控制整台主机。
• SSH 弱口令与口令复用。 一台主机失陷后，攻击者会用同样的口令或收集到的密钥登录内网其他 Linux 主机。

判断入口的依据主要在 Web 访问日志、面板日志与 SSH 认证日志里，这也是为什么不能先重装。

Linux 主机上的后门大多不受改密码影响，这正是很多服务器恢复后又被加密或又被删库的原因。被入侵过的主机原则上重建；确实需要在原机上核查时，至少逐项检查：

• 账号与密钥：/etc/passwd 中新增或 UID 为 0 的账号，所有用户（包括 root）authorized_keys 里的陌生公钥，sudoers 的改动。
• 定时任务：每个用户的 crontab、/etc/crontab、/etc/cron.d 与 cron.hourly 等目录，以及面板计划任务里不认识的条目。
• 服务与启动项：新增或被修改的 systemd 服务与 timer、/etc/rc.local、/etc/profile.d 与各用户 shell 配置里的启动命令。
• Web 目录：上传目录与网站根目录下新出现的 php、jsp 文件，时间戳异常的文件，与代码仓库比对不一致的文件。
• 程序完整性：Nginx、sshd 等常驻程序是否被替换——2022 年 12 月宝塔相关事件中被替换的正是 Nginx 主程序；/tmp、/dev/shm 下的可执行文件与异常进程。
• 面板本身：面板账号、安全入口、授权 IP 是否被改动，面板版本是否为最新。

清查之后还要把全部口令与密钥换掉：系统账号、SSH 密钥、面板账号、数据库账号，以及应用配置里的数据库连接串与云 AccessKey。更多根因分析见 为什么反复中勒索病毒。

不完全一样，下面几种情况请看对应的页面：

• VMware ESXi 宿主机被加密。 这类加密器常被称作 Linux 版本，但它们打的是数据存储里的虚拟磁盘，关机、删快照、加密 vmdk 的行为和恢复路径都不同于 Web 服务器，见 虚拟化平台被加密。
• 群晖、威联通等 NAS 被加密。 NAS 系统同样基于 Linux，但处置重点在存储卷与快照，见 服务器与 NAS 被加密。
• 同一网络里的 Windows 服务器与云服务器。 远程桌面、SQL Server 入口与卷影副本的处理方式见 服务器中了勒索病毒怎么办。

混合环境很常见：Web 服务器被打穿后，攻击者可能继续登录同网段的数据库服务器、备份服务器甚至虚拟化管理口。排查范围要按实际的网络互通与凭据复用来划定，而不是按操作系统划定。