Linux服务器中招后，ip命令更可靠，因其来自持续维护的iproute2工具集，而ifconfig依赖易被破坏的net-tools包；勒索软件常卸载后者导致ifconfig失效，ip则大概率仍可用。
Linux服务器中招后，ifconfig 和 ip 哪个更可靠？
中招瞬间，ifconfig 可能已失效——它依赖 net-tools 包，而勒索软件常会卸载或破坏该工具；ip（来自 iproute2）则大概率仍可用，且是现代 Linux 的标准网络管理命令。优先用 ip link set dev eth0 down（把 eth0 换成你实际的主网卡名，可用 ip link show 确认）。若连 ip 都执行失败，说明进程空间已被严重污染，直接物理断网或进云控台操作。
云服务器在控制台失联时，如何用单用户模式强制断网？
当 SSH 已被劫持、命令无响应，但服务器还能开机，可重启进单用户模式（GRUB 菜单按 e 编辑启动项，在 linux 行末尾加 rd.break 或 init=/bin/bash），挂载根文件系统后执行：mount -o remount,rw /sysroot → chroot /sysroot → ip link set dev eth0 down。注意：此操作不依赖网络服务、不触发任何用户级脚本，是最底层的“硬隔离”。
禁用网卡后，为什么还要关掉 systemd-networkd 和 NetworkManager？
勒索软件可能监听网络服务重启事件，一旦检测到网卡状态变化，自动拉起新连接。所以断网后必须立即停掉相关守护进程：systemctl stop systemd-networkd NetworkManager；若使用 network-scripts（如 CentOS 7 旧部署），还需 systemctl stop network。别忽略 systemctl list-units --type=service | grep -i net 查漏——有些定制化勒索变种会注册伪装成 netmon-agent.service 这类名字的恶意服务。
断网只是第一步，/proc/sys/net/ipv4/ip_forward 设为 0 很关键
如果服务器曾被用作跳板或启用了 IP 转发（比如跑过 Docker、K8s 或代理），即使网卡 down 了，内核仍可能转发局域网流量，导致横向感染其他机器。执行：echo 0 > /proc/sys/net/ipv4/ip_forward，并确认 /etc/sysctl.conf 中没有 net.ipv4.ip_forward = 1 持久配置。这个细节常被忽略，却是企业内网能否守住第二道防线的关键。
ip link show 输出、劫持 read 系统调用返回假状态。最保险的方式永远是：云环境立刻进控制台封安全组，物理服务器直接拔网线，别信任何命令回显。 
