1. 项目概述当勒索病毒来袭断网后的第一道防线“服务器中招了快拔网线”——这可能是很多运维或安全人员在面对勒索病毒攻击时的第一反应。断网切断横向移动和与C2服务器的通信确实是遏制损失扩散最直接、最有效的物理手段。但网线一拔屏幕上的加密倒计时还在跳动或者文件已经被篡改了扩展名接下来该怎么办慌乱之中很多人会本能地想到“备份”但具体备份什么、怎么备份却成了一个生死攸关的问题。备份对了可能为后续的数据恢复、溯源分析留下火种备份错了或者漏了不仅可能覆盖关键证据更可能让恢复工作彻底陷入僵局。这个问题的核心远不止是复制几个文件那么简单。它是一场与时间赛跑的“现场取证”需要在极度紧张和不确定的环境下做出最有利于止损和后续处置的决策。备份的目标是双重的一是尽可能保存被加密或破坏前的原始数据状态为可能的解密或数据恢复提供素材二是完整记录下攻击发生时的系统状态、进程、网络连接等信息这些是后续进行安全事件溯源、根因分析、漏洞修补乃至法律追责的“黑匣子”。因此断网后的备份本质上是一次有针对性的、紧急的、最小化的证据保全和状态快照。本文将从一个实战响应者的角度深入拆解在Windows和Linux服务器环境中遭遇勒索病毒后断网第一时间应该备份哪些关键文件以及如何安全、有序地完成这些备份操作。我们会涵盖系统状态、应用数据、安全日志、内存信息等多个维度并提供具体的命令和路径参考。更重要的是我们会探讨备份过程中的“禁忌”与“优先級”例如为什么不能急于重启为什么要避免在感染磁盘上进行备份等实战经验帮助你在真正的危机面前能有一套清晰、可执行的行动清单。2. 核心思路与备份策略总览在展开具体文件列表之前我们必须先确立断网后应急备份的核心原则。这些原则决定了我们行动的优先级和方式避免在慌乱中做出错误决策。2.1 黄金原则不破坏现场不扩大损失首要原则是“不破坏现场”。感染勒索病毒的系统本身就是一个巨大的“犯罪现场”。任何不当操作如重启、运行未知脚本、在感染盘进行大量写操作都可能覆盖掉内存中的进程信息、磁盘上的临时文件或日志记录这些是分析攻击入口、病毒样本和横向移动路径的关键证据。其次要“隔离操作”。理想的备份介质应该是外置的、干净的USB移动硬盘或网络存储在确认存储路径本身未受感染的前提下。绝对要避免将备份文件直接保存在已被感染的系统磁盘上因为勒索病毒可能仍在活动会加密新写入的文件。同时使用外部介质也便于将数据转移至安全的分析环境。最后坚持“最小化、快照式”备份。我们的目标不是做一次完整的系统备份那太耗时而是在最短时间内抓取最能反映攻击瞬间状态和核心资产的数据。这就像消防员冲进火场不是搬运所有家具而是先抢救最重要的保险箱和文件柜。2.2 备份内容三维度状态、数据、痕迹基于以上原则我们可以将需要备份的内容分为三个维度系统与进程状态攻击发生时系统正在“运行”什么。这包括内存信息、进程列表、网络连接、计划任务、启动项等。这些信息是动态的重启即消失因此优先级最高。关键业务数据与配置被加密或威胁的核心资产。这包括数据库文件、应用程序配置文件、用户文档、源代码等。我们需要备份其被加密前的最后可用版本或当前被锁定的状态。攻击痕迹与日志记录攻击者“做了什么”和“怎么做的”。这包括系统日志、安全日志、应用日志、临时文件、PrefetchWindows等。这些是溯源分析的命脉。2.3 操作流程总纲一个有序的流程能极大提升效率镇定评估快速确认感染范围是单个文件、目录还是全盘、病毒类型通过加密后缀或勒索信初步判断。准备介质连接干净的外部存储设备在其上创建清晰的目录结构如YYYYMMDD_Incident_Backup/下分设System_State/、Critical_Data/、Logs/等子目录。按优先级抓取遵循先易失性数据内存、进程后静态数据日志、文件的顺序进行备份。记录元数据备份的同时用一个文本文件记录操作时间、执行的命令、观察到的现象如加密后缀、可疑进程名这对后续分析至关重要。验证与移交备份完成后简单验证重要文件是否已成功复制然后将备份介质妥善保管准备移交或用于后续分析。3. Windows 系统关键文件备份实操Windows服务器是勒索病毒的重灾区。其复杂的注册表、日志系统和文件结构既是攻击者的目标也是我们取证的信息宝库。3.1 易失性数据抢在重启前抓取的“幽灵”这部分数据关机即失必须最优先处理。建议打开命令行cmd或PowerShell以管理员身份运行将输出重定向到外部备份介质。进程与网络信息# 备份当前所有进程的详细信息包括路径、命令行参数这对识别恶意进程至关重要 tasklist /v D:\Backup\System_State\process_list.txt # 使用 netstat 查看所有网络连接和监听端口寻找可疑的外联IP netstat -ano D:\Backup\System_State\network_connections.txt # 查看当前系统的会话信息如RDP连接 net session D:\Backup\System_State\net_sessions.txt 21系统信息与用户活动# 查看系统基本信息、启动时间用于判断感染时间窗口 systeminfo D:\Backup\System_State\systeminfo.txt # 查看当前登录的用户 query user D:\Backup\System_State\logged_in_users.txt # 查看共享文件夹攻击者常利用此进行横向移动 net share D:\Backup\System_State\shares.txt注意运行这些命令本身是安全的但务必确保输出路径指向外部备份盘。如果病毒劫持了命令行可尝试使用事先准备好的干净U盘中的静态工具如微软官方Sysinternals Suite中的pslist.exe、tcpview.exe。3.2 日志文件挖掘攻击链的“日记”Windows事件日志是溯源的核心。我们需要完整导出安全、系统和应用日志。使用 PowerShell 一次性导出# 将安全、系统、应用日志导出为evtx格式保留原始结构便于专业工具分析 Get-WinEvent -LogName Security -Oldest | Export-Clixml -Path D:\Backup\Logs\Security_Events.xml Get-WinEvent -LogName System -Oldest | Export-Clixml -Path D:\Backup\Logs\System_Events.xml Get-WinEvent -LogName Application -Oldest | Export-Clixml -Path D:\Backup\Logs\Application_Events.xml # 也可以直接复制日志文件本身需要管理员权限 Copy-Item C:\Windows\System32\winevt\Logs\Security.evtx -Destination D:\Backup\Logs\ Copy-Item C:\Windows\System32\winevt\Logs\System.evtx -Destination D:\Backup\Logs\关键日志路径C:\Windows\System32\winevt\Logs\*.evtx 主要事件日志。C:\Windows\Tasks\和C:\Windows\System32\Tasks\ 计划任务文件勒索病毒常在此创建持久化任务。%AppData%和%LocalAppData%下的可疑子目录 许多病毒会将自身释放到用户目录。3.3 关键系统文件与配置这些文件描述了系统的静态配置有助于理解攻击面。注册表配置单元 特别是自启动项和服務配置。reg export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run D:\Backup\Config\HKLM_Run.reg reg export HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run D:\Backup\Config\HKCU_Run.reg reg export HKLM\SYSTEM\CurrentControlSet\Services D:\Backup\Config\Services.reg主机文件C:\Windows\System32\drivers\etc\hosts攻击者可能篡改以屏蔽安全软件更新或重定向流量。Prefetch 文件C:\Windows\Prefetch\记录了程序执行历史可用来分析近期运行过的可疑程序。直接复制整个目录。AMCache.hveC:\Windows\AppCompat\Programs\Amcache.hve包含应用程序执行痕迹是高级取证的重要来源。3.4 业务数据与用户文件这是备份的重中之重但也是操作最需谨慎的地方。定位核心数据 快速与业务负责人确认最关键的数据存储位置。常见位置包括数据库文件 SQL Server的.mdf/.ldfMySQL的ibdata1、*.ibd以及数据库备份文件。Web应用 网站根目录如C:\inetpub\wwwroot、配置文件web.config、上传目录。文件服务器 共享文件夹内的办公文档、设计稿、财务数据。备份目录 检查原有的备份文件是否也被加密。备份策略对于已被加密的文件 直接复制加密后的文件。切勿尝试解密或删除保留原始状态。对于疑似未被感染但风险高的文件 优先复制。可以使用robocopy命令进行快速镜像备份。robocopy C:\CriticalData D:\Backup\Critical_Data /MIR /Z /R:2 /W:5 /LOG:D:\Backup\copy_log.txt/MIR镜像模式/Z支持断点续传/R:2重试2次/W:5等待5秒/LOG记录复制日志。特别注意 如果发现目录中存在!README!.txt、!RECOVER-FILES!.txt或类似名称的勒索信务必一并备份。其中可能包含攻击者ID、勒索金额、联系方式甚至解密工具信息。4. Linux 系统关键文件备份实操Linux系统同样面临勒索威胁尤其是面向公网的Web服务器、数据库服务器。其备份思路与Windows类似但工具和路径截然不同。4.1 易失性数据抓取使用ssh连接到服务器如果还能连接立即开始收集信息。将所有输出保存到挂载的外部存储或通过ssh管道输出到本地。系统状态与进程# 查看系统运行时间、负载和用户判断异常登录 uptime /mnt/backup/system_state/uptime.txt who -a /mnt/backup/system_state/logged_in_users.txt # 详细进程列表查看命令行参数ps aux和父子进程关系ps -ef ps aux /mnt/backup/system_state/processes_aux.txt ps -ef /mnt/backup/system_state/processes_ef.txt # 查看所有网络连接注意ESTABLISHED和LISTEN状态 netstat -tunap /mnt/backup/system_state/network_stats.txt # 或者使用 ss 命令更现代 ss -tunap /mnt/backup/system_state/ss_output.txt # 查看加载的内核模块勒索病毒可能加载恶意模块 lsmod /mnt/backup/system_state/kernel_modules.txt内存信息 如果条件允许且系统未完全僵死可以尝试抓取内存快照。但这通常需要额外工具如LiME或AVML在紧急响应中可能来不及部署。一个折衷方案是检查/proc文件系统# 备份 /proc 目录下的一些关键信息 cp /proc/version /mnt/backup/system_state/ cp /proc/cmdline /mnt/backup/system_state/ cp /proc/mounts /mnt/backup/system_state/4.2 日志文件备份Linux的日志分散在/var/log目录下需要全面收集。# 备份整个 /var/log 目录但注意大小 tar -czvf /mnt/backup/logs/var_log_full_$(date %Y%m%d_%H%M%S).tar.gz /var/log --exclude*.gz # 关键日志单独备份 cp /var/log/auth.log* /mnt/backup/logs/ 2/dev/null || true # Debian/Ubuntu 认证日志 cp /var/log/secure* /mnt/backup/logs/ 2/dev/null || true # RHEL/CentOS 认证日志 cp /var/log/syslog* /mnt/backup/logs/ 2/dev/null || true cp /var/log/messages* /mnt/backup/logs/ 2/dev/null || true # 系统通用消息 cp /var/log/cron* /mnt/backup/logs/ 2/dev/null || true # 计划任务日志 cp /var/log/audit/audit.log* /mnt/backup/logs/ 2/dev/null || true # 如果开启了auditd审计 # 查看最近被修改的日志文件可能有攻击者的操作记录 find /var/log -type f -mtime -1 -name “*.log” -exec cp {} /mnt/backup/logs/recent/ \;历史命令 攻击者执行的操作可能留在用户的历史记录中。# 备份所有用户包括root的bash历史记录 for user in $(ls /home); do cp /home/$user/.bash_history /mnt/backup/logs/history_${user}_bash 2/dev/null; done cp /root/.bash_history /mnt/backup/logs/history_root_bash 2/dev/null4.3 系统配置与定时任务攻击者常通过修改配置和设置定时任务实现持久化。# 备份系统和服务配置文件 cp -r /etc /mnt/backup/config/etc_backup # 备份所有用户的crontab for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l /mnt/backup/config/crontab_$user 2/dev/null; done # 备份系统级cron目录 cp -r /etc/cron.* /mnt/backup/config/ 2/dev/null || true # 备份所有 systemd 服务单元文件CentOS 7/Ubuntu 16.04 systemctl list-unit-files --typeservice --stateenabled /mnt/backup/config/enabled_services.txt4.4 应用数据备份这是Linux服务器备份的核心尤其是数据库和Web应用。数据库MySQL/MariaDB 如果服务还能运行立即尝试导出数据。但要注意如果数据库文件已被加密导出过程可能失败或导出加密数据。# 尝试全库导出使用 --single-transaction 避免锁表InnoDB mysqldump -u root -p --all-databases --single-transaction --routines --events /mnt/backup/data/mysql_full_backup_$(date %Y%m%d).sql # 如果导出失败直接备份原始数据目录先停止数据库服务风险更低但应急时可能来不及 cp -r /var/lib/mysql /mnt/backup/data/mysql_data_dir/PostgreSQL 使用pg_dumpall。pg_dumpall -U postgres /mnt/backup/data/pg_full_backup.sqlWeb应用 备份网站根目录如/var/www/html,/usr/share/nginx/html、虚拟主机配置/etc/nginx/sites-available/,/etc/apache2/sites-available/以及应用程序配置文件。用户数据 检查/home目录下各用户的重要文件。备份中的备份 检查服务器上是否已有定时任务生成的备份文件如/backup,/opt/backup这些文件可能幸免于难或已被加密都需要复制。5. 常见陷阱、疑难排查与实战心得即使有了清晰的清单在实际高压环境下仍会踩坑。以下是一些从真实应急响应案例中总结出的教训和技巧。5.1 绝对要避免的“致命操作”急于重启服务器 这是最大的禁忌。重启会清空内存丢失正在运行的恶意进程、网络连接等最关键的活体证据使得溯源分析变得极其困难。除非系统完全僵死无法执行任何命令否则应坚持在现有状态下取证。在感染磁盘上进行备份操作 将备份文件保存到已被感染的同一物理磁盘或逻辑卷上勒索病毒进程可能会实时加密你刚备份好的文件。务必使用物理隔离的外部存储。盲目运行“解密工具”或“杀毒软件” 在未做好完整备份前不要尝试运行任何修复或清除工具。不恰当的解密尝试可能永久损坏文件。杀毒软件可能会删除病毒体但也同时删除了样本不利于后续分析。使用不干净的取证工具 从互联网临时下载的工具可能本身就被篡改或携带恶意代码。应急响应工具包应事先准备在干净的U盘或光盘中。忽略隐蔽通道 只备份了明显的日志忽略了如~/.bash_history,~/.ssh/known_hosts(可能记录攻击者跳板机),/tmp、/dev/shm下的临时文件等。5.2 典型问题排查速查表现象/问题可能原因应急排查与备份要点服务器响应极慢命令执行超时CPU/内存被恶意进程占满或磁盘I/O被加密进程打满。1. 快速运行top(Linux) 或打开任务管理器 (Windows)查看资源占用最高的进程立即记录或截图其PID和路径。2. 尝试使用ionice(Linux) 或较低优先级的备份命令避免争抢资源。3. 优先备份小体积但高价值的易失性数据和日志。网络已断但无法连接外部USB存储服务器USB接口被禁用或内核崩溃导致无法识别新硬件。1. 尝试使用服务器上已有的、未被加密的其他分区或逻辑卷进行临时备份。2. 如果配置了网络存储NFS/SMB且路径未被感染可尝试挂载使用。3. 最坏情况将关键信息通过命令行输出重定向到屏幕并拍照记录或通过串口输出。发现数据库文件如.ibd已被加密但服务进程仍在运行勒索病毒可能只加密了磁盘文件尚未终止数据库进程进程内存中可能还有部分未落盘的干净数据。高风险操作警告尝试从内存中导出数据。对于MySQL可尝试通过管理连接执行FLUSH TABLES WITH READ LOCK;然后快速复制数据目录。但这可能导致服务完全停止需根据业务重要性权衡。更安全的做法是直接对内存进行转储如果具备条件然后备份整个被加密的数据目录。备份过程中勒索信弹窗或加密仍在进行病毒进程未被完全终止可能存在于多个进程或守护进程中。1. 不要关闭弹窗先截图保存勒索信全部内容。2. 在Linux上使用kill -STOP [PID]暂停可疑进程而非杀死阻止其继续加密然后再继续备份。3. 在Windows上可使用Process Explorer挂起进程。5.3 个人实战心得与技巧“备份清单”本地化 提前为负责的核心业务系统定制备份清单脚本。例如一个简单的Bash或PowerShell脚本里面预置了所有关键命令和路径应急时只需挂载备份盘运行脚本即可自动收集大部分信息。脚本应输出详细的日志记录每个步骤的成功与否。“离线工具包”常备手边 准备一个专用、只读的USB工具盘里面包含静态编译的取证工具如busybox、Sysinternals Suite的静态版、干净的文本编辑器、哈希计算工具用于计算备份文件的哈希值保证完整性、以及本文提到的命令清单。“时间线”就是生命线 备份时务必在文件名或目录名中加入时间戳精确到分秒例如20231027_143005_auth_log.tar.gz。这能清晰界定事件发生前后文件的版本对于分析攻击序列至关重要。“一次备份多处存储” 如果条件允许备份应同时制作两份分别存储。一份用于紧急的数据恢复尝试另一份作为原始证据封存避免在恢复操作中意外污染。沟通与记录 应急不是一个人的战斗。操作时最好有同事协助记录你执行的每一条命令、观察到的每一个现象错误信息、文件变化等。这份操作日志本身是后续撰写事件报告和复盘的核心材料。断网只是按下了攻击的暂停键而专业、有序的备份则是为后续的恢复、分析和反击保存了最关键的火种。这份清单不是一成不变的教条你需要根据自己系统的特点用什么数据库、什么应用框架不断补充和演练。真正的安全来自于对最坏情况所做的、最充分的准备。