資料庫伺服器出現反應遲鈍、網路負載飆升、CPU/記憶體異常時，**優先排查惡意軟體/木馬入侵**，再處理應用層效能問題。本文提供五步驟完整偵測流程與工具建議。
前置觀念：為何資料庫伺服器易受害？
- 可連網下載軟體、瀏覽網頁、收發郵件 → 木馬進入管道。
- 常為追求效能**未安裝防毒軟體**或**排除掃描目錄過廣**。
- 管理員忙於業務，**缺乏基線資料** (正常進程/連接埠/流量基準) 難以判斷異常。
五步驟偵測標準流程
1. 惡意軟體掃描器 (必要防線)
- **安裝防毒軟體**：若擔心即時掃描效能影響，將資料庫資料/記錄檔目錄加入**排除清單**，但**務必排程非尖峰時間全盤掃描** (每 2-3 天)。
- **保持病毒碼最新**：不要完全信任自動更新，手動確認。
- **多引擎交叉驗證**：特別是反間諜軟體工具 (如 Malwarebytes, Spybot)，不同廠商偵測特徵碼不同。
2. 記憶體與進程分析
- **工作管理員** 只能看表面。
- **推薦：Sysinternals Process Explorer** (免費、強大)。
- 顯示完整命令列、載入 DLL、TCP/IP 連線、安全性 Token。
- 可識別偽裝系統進程的木馬 (如 NetBus Trojan 偽裝
svchost.exe 但路徑錯誤)。
- 提供可靠的進程終止功能。
- **建立基線**：系統乾淨安裝完成後，匯出 Process Explorer 進程清單 (含 PID、路徑、簽名驗證) 作為未來比對基準。
3. 開放連接埠檢視
- 內建
netstat -an (配合 more 分頁) 查看 TCP/UDP 監聽與連線狀態。
- **推薦圖形化工具**：
- Foundstone Vision (免費)
- Sysinternals TCPView (即時動畫顯示連線建立/斷開)
- 重點關注**非預期監聽埠** (如 12345 NetBus, 31337 Back Orifice 等知名木馬埠)。
4. 網路流量深度分析 (最直觀判斷)
- **原理**：木馬必須「回連」或「傳送竊取資料」 → 產生異常流量。
- **工具**：
- EtherPeek / Wireshark (免費開源) 擷取封包。
- 交換器配置 **SPAN/Mirror Port** 將伺服器流量鏡像到分析機。
- **分析重點**：
- 非業務時間大量外連流量。
- 未知協議/埠號通訊。
- 大量小封包 (心跳/指令通道) 或大量上傳 (資料外洩)。
- **監控模式**：不擷取完整封包，僅統計協議分佈、頻寬趨勢、Top Talkers，低負載持續監控。
- **知名木馬埠參考表** (攻擊者常變更埠號，僅供參考)：NetBus(12345), Back Orifice(31337), SubSeven(27374), Deep Throat(2140/3150)...
5. 發現惡意軟體後的處置原則
- 禁止 使用該伺服器瀏覽網頁、收發郵件、安裝非必要軟體。
- 不要假設 防毒軟體 100% 有效，需多層防護。
- 立即隔離：拔網路線或關閉防火牆規則，防止持續外洩/受控。
- 完整備份後重灌：根除木馬唯一可靠方式是**重建乾淨系統**，再從乾淨備份還原資料 (驗證備份未被感染)。
- 事後複盤：分析入侵路徑 (弱密碼、未修補漏洞、應用漏洞)，補強防禦。
保護你的伺服器，並了解如何、在哪裡尋找問題源頭。壞人知道許多伺服器缺乏惡意軟體防護。—— Kevin Beaver, CISSP
