下面是这次服务器被入侵的情况。 
这次不是普通扫端口，而是比较完整的一套批量扫描、批量利用流程。攻击者先扫 EasyImage 图床的漏洞，成功读取网站配置，然后伪造后台登录状态进管理端，再上传 PHP WebShell。两台服务器上的攻击方式、时间线、WebShell 文件哈希基本都能对上，明显是同一套工具在批量跑，不像是专门只盯着我一个站。 
我名下两台实名腾讯云服务器在同一时间段遭到攻击，两台服务器均出现同一个主要攻击出口 IP：112.32.35.93。公开网络归属信息显示，该 IP 属于中国移动 CMNET，定位指向安徽合肥移动城域网。 
其中一台服务器里还存着真实用户数据，包括姓名、手机号、详细地址、微信号这些信息。现在日志里暂时没发现明显的批量打包下载或者数据库导出记录，但问题是对方已经把 WebShell 留进来了，而且还有加密通信的远控通道，服务器本身又没有完整的出站流量...