数据库被黑了？别慌！这里有超全恢复攻略

嘿，朋友们！今天咱们来聊聊一个让无数程序员和运维人员头疼的问题——数据库被黑了，咋办？别急，我这就给你支招，教你一步步把数据找回来，顺便把安全漏洞给堵上。要是你正面临这个问题，那就赶紧往下看吧，说不定能帮到你呢！

一、先别急着付钱，自己找找原因

你有没有收到过那种威胁邮件，说你的数据库被黑了，让你付钱恢复数据？嘿，这种事儿可不能轻易答应。要是你一着急就掏钱，那可就掉进人家的陷阱里了。先冷静下来，自己查查原因。说不定问题没那么严重呢！

二、找入侵痕迹，揪出“罪魁祸首”

要是数据库被黑了，肯定是有地方出了问题。咱得像侦探一样，一步步排查入侵的痕迹。

• 检查用户和组：先看看 /etc/passwd 和 /etc/group 文件里有没有异常用户。要是发现有奇怪的用户，那可得小心了！说不定就是黑客留下的“后门”。还有，别忘了检查空口令用户和 UID 为 0 的用户，这种用户权限可大得很，要是被黑客利用，那后果不堪设想。

• 检查进程：用 top 命令看看有没有异常进程占用了大量 CPU 或内存。要是发现有不认识的进程，那就得赶紧查查它的路径，看看是不是恶意程序。要是确认是黑客留下的，那就直接 kill 掉，然后删除它的文件。

• 检查启动项：看看 /etc/init.d/ 目录和 /etc/rc.local 文件里有没有异常服务。要是有，那可得小心了，说不定黑客就是通过这些启动项来控制你的服务器的。

• 检查计划任务：用 crontab -l 查查看有没有被加入异常的计划任务。要是发现有奇怪的任务，那可得赶紧删除，不然黑客可能会通过这些任务来反复入侵你的系统。

• 检查应用的敏感目录：比如 /tmp/ 目录和 MySQL 的运行数据目录，看看有没有被注入大量恶意信息。要是发现有异常程序，那可得赶紧删除。要是清理不干净，那就备份一下数据，重新安装数据库吧。

• 检查系统日志：Linux 系统的日志文件可是排查问题的“利器”。看看 /var/log/btmp、/var/log/lastlog、/var/log/wtmp、/var/log/utmp 和 /var/log/secure 这些文件，说不定能发现黑客入侵的蛛丝马迹。

三、找不到原因？那就重新搞吧

要是排查了一圈，还是没找到问题的根源，那也没关系。咱可以重新安装数据库，把旧的卸载掉，换个新的，重新开始。虽然有点麻烦，但总比被黑客牵着鼻子走强。

• 卸载旧的数据库：先用 rpm -qa | grep mysql 或 rpm -qa | grep mariadb 查查看有没有安装 MySQL 或 MariaDB。要是有，那就用 yum -y remove 文件名 把它卸载掉。

• 下载新的数据库：从官方网站下载最新的数据库安装包，解压到指定目录。要是你不知道怎么下载，那就去 MySQL 官方网站看看，上面有详细的教程。

• 安装新的数据库：用 rpm -ivh 命令安装新的数据库。安装完成后，启动 MySQL 服务，用 systemctl start mysqld 命令就行。

• 查询初始密码：在日志文件 /var/log/mysqld.log 里找找初始密码。找到后，赶紧登录 MySQL，修改密码，把权限限制一下，防止黑客再次入侵。

四、开启 binlog 日志，为恢复数据做准备

要是你之前开启了 binlog 日志，那可真是太幸运了。binlog 日志可是恢复数据的“神器”，能记录数据库的所有操作。通过它，你可以轻松恢复被篡改的数据。

• 查看 binlog 日志状态：用 show variables like '%log_bin%'; 命令看看 binlog 日志是否开启。要是没开启，那就赶紧开启吧。编辑 my.cnf 文件，添加以下

  ini复制

  # 节点ID，注意集群中不能重复，单节点不配置也可以
  server-id=123
  # 开启binlog日志，指定其存放位置
  log-bin=/var/lib/mysql/mysql-bin
  # 开启binlog自动过期
  expire_logs_days=3

  修改完成后，重启 MySQL 服务，用 systemctl restart mysqld 命令就行。

• 查看 binlog 日志文件：