如何看Linux服务器是否被攻击

以下几种方法检测linux服务器是否被攻击：

1、检查系统密码文件

首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。

2、查看一下进程，看看有没有奇怪的进程

重点查看进程：ps –aef | grep inetd inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果看到输出了一个类似inetd –s

/tmp/xxx之类的进程，着重看inetd

–s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中

也仅仅是inetd

–s，同样没有用inetd去启动某个特定的文件；如果使用ps命令看到inetd启动了某个文件，而自己又没有用inetd启动这个文件，那就说明已经有人入侵了系统，并且以root权限起了一个简单的后门。

好像是服务器安全出现了问题才导致的被攻击！

服务器安全这问题，很重要，之前服务器被黑，管理员账号也被篡改，远程端口也登陆不了了。，在网上搜索了一些服务器安全设置以及防黑的文章，对着文章，我一个一个的设置起来，费了好几天的时间才设置完，原以为会防止服务器再次被黑，没想到服务器竟然瘫痪了，网站都打不开了，无奈对服务器安全也是一窍不通，损失真的很大，数据库都损坏了，我哪个后悔啊。娘个咪的。最后还是让机房把系统重装了。找了几个做网站服务器方面的朋友，咨询了关于服务器被黑的解决办法，他们建议找国内最有名的服务器安全的安全公司来给做安全维护，找了sinesafe，服务器被黑的问题，才得以解决。

一路的走来，才知道，服务器安全问题可不能小看了。经历了才知道，服务器安全了给自己带来的也是长远的利益。 希望我的经历能帮到楼主，帮助别人也是在帮助我自己。

下面是一些关于安全方面的建议！

建站一段时间后总能听得到什么什么网站被挂马，什么网站被黑。好像入侵挂马似乎是件很简单的事情。其实，入侵不简单，简单的是你的网站的必要安全措施并未做好。

一：挂马预防措施：

1、建议用户通过ftp来上传、维护网页，尽量不安装asp的上传程序。

2、定期对网站进行安全的检测，具体可以利用网上一些工具，如sinesafe网站挂马检测工具！

序，只要可以上传文件的asp都要进行身份认证!

3、asp程序管理员的用户名和密码要有一定复杂性，不能过于简单，还要注意定期更换。

4、到正规网站下载asp程序，下载后要对其数据库名称和存放路径进行修改，数据库文件名称也要有一定复杂性。

5、要尽量保持程序是最新版本。

6、不要在网页上加注后台管理程序登陆页面的链接。

7、为防止程序有未知漏洞，可以在维护后删除后台管理程序的登陆页面，下次维护时再通过ftp上传即可。

8、要时常备份数据库等重要文件。

9、日常要多维护，并注意空间中是否有来历不明的asp文件。记住：一分汗水，换一分安全!

10、一旦发现被入侵，除非自己能识别出所有木马文件，否则要删除所有文件。

11、对asp上传程序的调用一定要进行身份认证，并只允许信任的人使用上传程序。这其中包括各种新闻发布、商城及论坛程

二：挂马恢复措施：

1修改帐号密码

不管是商业或不是，初始密码多半都是admin。因此你接到网站程序第一件事情就是“修改帐号密码”。帐号

密码就不要在使用以前你习惯的，换点特别的。尽量将字母数字及符号一起。此外密码最好超过15位。尚若你使用

SQL的话应该使用特别点的帐号密码，不要在使用什么什么admin之类，否则很容易被入侵。

2创建一个robotstxt

Robots能够有效的防范利用搜索引擎窃取信息的骇客。

3修改后台文件

第一步：修改后台里的验证文件的名称。

第二步：修改connasp，防止非法下载，也可对数据库加密后在修改connasp。

第三步：修改ACESS数据库名称，越复杂越好，可以的话将数据所在目录的换一下。

4限制登陆后台IP

此方法是最有效的，每位虚拟主机用户应该都有个功能。你的IP不固定的话就麻烦点每次改一下咯，安全第一嘛。

5自定义404页面及自定义传送ASP错误信息

404能够让骇客批量查找你的后台一些重要文件及检查网页是否存在注入漏洞。

ASP错误嘛，可能会向不明来意者传送对方想要的信息。

6慎重选择网站程序

注意一下网站程序是否本身存在漏洞，好坏你我心里该有把秤。

7谨慎上传漏洞

据悉，上传漏洞往往是最简单也是最严重的，能够让黑客或骇客们轻松控制你的网站。

可以禁止上传或着限制上传的文件类型。不懂的话可以找专业做网站安全的sinesafe公司。

8 cookie 保护

登陆时尽量不要去访问其他站点，以防止 cookie 泄密。切记退出时要点退出在关闭所有浏览器。

9目录权限

请管理员设置好一些重要的目录权限，防止非正常的访问。如不要给上传目录执行脚本权限及不要给非上传目录给于写入权。

10自我测试

如今在网上黑客工具一箩筐，不防找一些来测试下你的网站是否OK。

11例行维护

a定期备份数据。最好每日备份一次，下载了备份文件后应该及时删除主机上的备份文件。

b定期更改数据库的名字及管理员帐密。

c借WEB或FTP管理，查看所有目录体积，最后修改时间以及文件数，检查是文件是否有异常，以及查看是否有异常的账号。

DDOS攻击借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。

如果受到了DDoS攻击，一般有以下几种表现：

1、服务器连接不到，网站也打不开

如果网站服务器被大量DDoS攻击时，有可能会造成服务器蓝屏或者死机，这时就意味着服务器已经连接不上了，网站出现连接错误的情况。

2、服务器CPU被大量占用

DDoS攻击其实是一种恶意性的资源占用攻击，攻击者利用肉鸡或者攻击软件对目标服务器发送大量的无效请求，导致服务器的资源被大量的占用，因而正常的进程没有得到有效的处理，这样网站就会出现打开缓慢的情况。如果服务器某段时期能突然出现CPU占用率过高，那么就可能是网站受到CC攻击影响。

3、服务器带宽被大量占用

占用带宽资源通常是DDoS攻击的一个主要手段，毕竟对很多小型企业或者个人网站来说，带宽的资源可以说非常有限，网络的带宽被大量无效数据给占据时，正常流量数据请求很很难被服务器进行处理。如果服务器上行带宽占用率达到90%以上时，那么你的网站通常出现被DDoS攻击的可能。

4、域名ping不出IP

域名ping不出IP这种情况站长们可能会比较少考虑到，这其实也是DDoS攻击的一种表现，只是攻击着所针对的攻击目标是网站的DNS域名服务器。在出现这种攻击时，ping服务器的IP是正常联通的，但是网站就是不能正常打开，并且在ping域名时会出现无法正常ping通的情况。

如果经常发生DDoS攻击，对于网站来说是比较危险的，因此要重视DDOS攻击。防御DDoS攻击，可以使用安全狗来防护。

（摘抄）

服务器被攻击怎么办

安装软件防火墙， 可以对一定的攻击行为进行拦截和防御。可以用安全狗来防护，防黑抗攻击杀病毒。

查看系统日志，日记服务可以记录黑客的行踪，通过日志看下入侵者在系统上做过什么手脚，在系统上留了哪些后门，给系统造成了哪些破坏及隐患，服务器到底还存在哪些安全漏洞等，建议可以查看下日志。

做好数据备份。及时做好服务器系统备份，万一遭到破坏也可及时恢复。

对服务器进行整体扫描，看下有什么问题，漏洞之类的，及时修复。

服务器被DDOS攻击 要怎么办

DoS（Denial of Service）是一种利用合理的服务请求占用过多的服务资源，从而使合法用户无法得到服务响应的网络攻击行为。

被DoS攻击时的现象大致有：

被攻击主机上有大量等待的TCP连接；

被攻击主机的系统资源被大量占用，造成系统停顿；

网络中充斥着大量的无用的数据包，源地址为假地址；

高流量无用数据使得网络拥塞，受害主机无法正常与外界通讯；

利用受害主机提供的服务或传输协议上的缺陷，反复高速地发出特定的服务请求，使受害主机无法及时处理所有正常请求；

严重时会造成系统死机。

到目前为止，防范DoS特别是DDoS攻击仍比较困难，但仍然可以采取一些措施以降低其产生的危害。对于中小型网站来说，可以从以下几个方面进行防范：

主机设置：

即加固操作系统，对各种操作系统参数进行设置以加强系统的稳固性。重新编译或设置Linux以及各种BSD系统、Solaris和Windows等操作系统内核中的某些参数，可在一定程度上提高系统的抗攻击能力。

例如，对于DoS攻击的典型种类—SYN Flood，它利用TCP/IP协议漏洞发送大量伪造的TCP连接请求，以造成网络无法连接用户服务或使操作系统瘫痪。该攻击过程涉及到系统的一些参数：可等待的数据包的链接数和超时等待数据包的时间长度。因此，可进行如下设置：

关闭不必要的服务；

将数据包的连接数从缺省值128或512修改为2048或更大，以加长每次处理数据包队列的长度，以缓解和消化更多数据包的连接；

将连接超时时间设置得较短，以保证正常数据包的连接，屏蔽非法攻击包；

及时更新系统、安装补丁。

防火墙设置：

仍以SYN Flood为例，可在防火墙上进行如下设置：

禁止对主机非开放服务的访问；

限制同时打开的数据包最大连接数；

限制特定IP地址的访问；

启用防火墙的防DDoS的属性；

严格限制对外开放的服务器的向外访问，以防止自己的服务器被当做工具攻击他人。

此外，还可以采取如下方法：

Random Drop算法。当流量达到一定的阀值时，按照算法规则丢弃后续报文，以保持主机的处理能力。其不足是会误丢正常的数据包，特别是在大流量数据包的攻击下，正常数据包犹如九牛一毛，容易随非法数据包被拒之网外；

SYN Cookie算法，采用6次握手技术以降低受攻击率。其不足是依据列表查询，当数据流量增大时，列表急剧膨胀，计算量随之提升，容易造成响应延迟乃至系统瘫痪。

由于DoS攻击种类较多，而防火墙只能抵挡有限的几种。

路由器设置：

以Cisco路由器为例，可采取如下方法：

Cisco Express Forwarding（CEF）；

使用Unicast reverse-path；

访问控制列表（ACL）过滤；

设置数据包流量速率；

升级版本过低的IOS；

为路由器建立log server。

其中，使用CEF和Unicast设置时要特别注意，使用不当会造成路由器工作效率严重下降。升级IOS也应谨慎。

路由器是网络的核心设备，需要慎重设置，最好修改后，先不保存，以观成效。Cisco路由器有两种配置，startup config和running config，修改的时候改变的是running config，>>

云服务器被黑客入侵攻击了怎么办

重启系统从做重设root密码端口不要默认

服务器被攻击怎么办

1、查看下是什么类型的攻击。检查下系统日志，看下攻击者都去了哪些地方

2、关闭不必要的服务和端口

3、整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号；内容是否又被修改的痕迹等，如果发现问题及时进行清理。

4、重新设置账户密码，以及设置账户权限。

5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果服务器上没有安装防护软件，可以看下安全狗软件。还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。

6、如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务，包括安全狗，安全宝、加速乐等。

7定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。

如何查看服务器是否被攻击

netstat -anp grep 'tcp\udp' awk '{print $5}' cut -d: -f1 sort uniq -c sort –n该命令将显示已登录的是连接到服务器的最大数量的IP的列表。DDOS变得更为复杂，因为攻击者在使用更少的连接，更多数量IP的攻击服务器的情况下，你得到的连接数量较少，即使你的服务器被攻击了。有一点很重要，你应该检查当前你的服务器活跃的连接信息，执行以下命令：netstat -n grep :80 wc –l

服务器被攻击怎么办

查看下是什么类型的攻击。

1、检查下系统日志，看下攻击者都去了哪些地方

2、关闭不必要的服务和端口

3、整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号；内容是否又被修改的痕迹等，如果发现问题及时进行清理。

4、重新设置账户密码，以及设置账户权限。

5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果服务器上没有安装防护软件，可以看下安全狗软件。

如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务，包括安全狗，安全宝、加速乐等。

6、如果之前有做备份，建议对重要数据进行替换。

服务器被攻击怎么办

查看下系统日志，系统会记录下所有用户使用系统的情形，包括登陆使用情况，攻击路线等。

检测下服务器上的网站，看下网站是被挂马等，看下服务器上的内容是否有被篡改的，及时处理。

及时为服务器打上补丁，避免漏洞被利用；

对服务器安全而言，安装防火墙是非常必要的。防火墙对于非法访问、攻击、篡改等都具有很好的预防、防护作用。防火墙有硬件防火墙和软件防火墙之分。软防可以看下安全狗，可以对服务器和网站进行安全防护。（如果你有成本，有需要，也可以看下硬防）

安装服务器杀毒软件（服务器安全狗有杀毒功能），并定期或及时升级杀毒软件，以及每天自动更新病毒库。

关闭不需要的服务和端口。在服务器使用过程中，可以关闭一些不需要的服务和端口。因为开启太多的服务，会占用系统的资源，而且也会增加系统安全威胁。

建议定期度服务器数据库进行备份。

账户密码设置的复杂些，并定期修改密码。账号和密码保护可以说是服务器系统的第一道防线，目前网上大部分对服务器系统的攻击都是从截获或猜测密码开始。

服务器被黑客攻击怎么办

1、检查系统日志，查看下是什么类型的攻击，看下攻击者都去了哪些地方。内容是否又被修改的痕迹等，如果发现问题及时进行清理。

2、关闭不必要的服务和端口

3、定期整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号等。

4、重新设置账户密码，密码设置的复杂些；以及设置账户权限。

5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果没有安装，可以安装个服务器安全狗，同时，还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。6、检测网站，是否又被挂马、被篡改、挂黑链等，如果有，及时清理。

7、如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务。

8、定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。

如何防范服务器被攻击

一，首先服务器一定要把administrator禁用，设置一个陷阱账号:"Administrator"把它权限降至最低,然后给一套非常复杂的密码，重新建立

一个新账号，设置上新密码，权限为administraor

然后删除最不安全的组件：

建立一个BAT文件,写入

regsvr32/u C:\WINDOWS\System32\wshomocx

del C:\WINDOWS\System32\wshomocx

regsvr32\u C:\WINDOWS\system32\shell32dll

del C:\WINDOWS\system32\shell32dll

二，IIS的安全：

1、不使用默认的Web站点，如果使用也要将 将IIS目录与系统磁盘分开。

2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。

3、删除系统盘下的虚拟目录，如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

4、删除不必要的IIS扩展名映射。

右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为shtml, shtm, stm

5、更改IIS日志的路径

右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性

6、如果使用的是2000可以使用iislockdown来保护IIS，在2003运行的IE60的版本不需要。

八、其它

1、 系统升级、打操作系统补丁，尤其是IIS 60补丁、SQL SP3a补丁，甚至IE 60补丁也要打。同时及时跟踪最新漏洞补丁;

2、停掉Guest 帐号、并给guest 加一个异常复杂的密码，把Administrator改名或伪装!

3、隐藏重要文件/目录

可以修改注册表实现完全隐藏:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi

-dden\SHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0

4、启动系统自带的Internet连接防火墙，在设置服务选项中勾选Web服务器。

5、防止SYN洪水攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

EnablePMTUDiscovery 值为0

NoNameReleaseOnDemand 值为1

EnableDeadGWDetect 值为0

KeepAliveTime 值为300,000

PerformRouterDiscovery 值为0

EnableICMPRedirects 值为0

6 禁止响应ICMP路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic>>

服务器被攻击了，被黑了怎么处理

你指的是账号密码被盗了吗？还是说服务器被远程入侵做不好的事情了？

第一种情况：如果是账号密码被盗，马上联系所在的服务器运营商，让机房网维技术马上帮你把服务器破密，更换服务器密码，而且要换一个难一点的更加安全的密码

第二种情况：如果是被入侵，先马上联系服务器运营商，让他帮你先把服务器的IP先封掉，防止继续被利用，让后让技术帮你把服务器重装系统，重新把账号密码更换掉，这样服务器就可以重新恢复安全了

腾正科技-嘉辉，希望我的回答能帮到你！

以下几种方法检测linux服务器是否被攻击：\x0d\1、检查系统密码文件 \x0d\首先从明显的入手，查看一下passwd文件，ls _l /etc/passwd查看文件修改的日期。 \x0d\2、查看一下进程，看看有没有奇怪的进程 \x0d\\x0d\重点查看进程：ps _aef | grep inetd inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果看到输出了一个类似inetd _s \x0d\/tmp/xxx之类的进程，着重看inetd \x0d\_s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中\x0d\也仅仅是inetd \x0d\_s，同样没有用inetd去启动某个特定的文件；如果使用ps命令看到inetd启动了某个文件，而自己又没有用inetd启动这个文件，那就说明已经有人入侵了系统，并且以root权限起了一个简单的后门。\x0d\3、检查系统守护进程 \x0d\检查/etc/inetdconf文件，输入：cat /etc/inetdconf | grep _v “^#”，输出的信息就是这台机器所开启的远程服务。 \x0d\一般入侵者可以通过直接替换inxxx程序来创建一个后门，比如用/bin/sh 替换掉intelnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。\x0d\4、检查网络连接和监听端口 \x0d\输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接。 \x0d\输入netstat _rn，查看本机的路由、网关设置是否正确。 \x0d\输入 ifconfig _a，查看网卡设置。 \x0d\5、检查系统日志 \x0d\命令last | \x0d\more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系\x0d\统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现\x0d\syslog被非法动过，那说明有重大的入侵事件。 \x0d\在linux下输入ls _al /var/log \x0d\检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。 \x0d\6、检查系统中的core文件 \x0d\通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。这种方式有一定的成功率，也就是说并不能\x0d\100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core \x0d\_exec ls _l {} \; 依据core所在的目录、查询core文件来判断是否有入侵行为。\x0d\7、检查系统文件完整性 \x0d\检查文件的完整性有多种方法，通常通过输入ls _l \x0d\文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm _V \x0d\`rpm _qf 文件名` \x0d\来查询，查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以man \x0d\rpm来获得更多的格式。