一、先看端口和暴露面 服务器安全排查最先看的，是端口、账号和日志这三块。端口决定服务器对外暴露了什么，账号决定谁能进来，日志决定最近发生过什么。很多异常并不是突然出现，而是因为多开了一个端口、留下了一个旧账号，或者登录记录里早就出现了陌生 IP。对于客户来说，先对照业务需求收紧端口，再确认哪些服务是真正在使用的，这一步就能把大部分无效暴露先收住。

二、再看账号和权限 账号问题往往比端口更隐蔽。很多机器看起来一切正常，但后台、数据库、FTP 和系统登录账号已经被加了不止一个，甚至有些还是很久以前遗留的旧账号。排查时不需要一次看完全部权限，只要先看管理员数量、最近是否新增账号、是否存在长时间不用却仍然能登录的账号，就能快速判断风险是否在扩大。账号越多，后续排查越麻烦，所以整理账号是很值得做的一步。

三、最后看日志与时间线 日志的价值，不是给技术人员炫技，而是帮你把问题和时间点对应起来。先找同一时间段里重复出现的来源、异常路径和失败记录，再结合最近是否改过配置、换过程序、增加过插件来判断。若端口、账号、日志三处同时异常，就不要只盯着某一个文件，而要把服务器当成整体来查。对于对外业务较少的机器，更要把不必要的服务关掉，减少被试探的机会。

四、结论 服务器排查不是为了看得多，而是为了先抓住最危险的入口。只要端口、账号和日志这三项先整理清楚，后续无论是网站木马清理，还是挖矿病毒处理，都会更容易定位源头，也更容易控制风险范围。