专栏首页网站漏洞修复服务器被黑该如何查找入侵、攻击痕迹

服务器被黑该如何查找入侵、攻击痕迹

当公司的网站服务器被黑,被入侵导致整个网站,以及业务系统瘫痪,给企业带来的损失无法估量,但是当发生服务器被攻击的情况,作为服务器的维护人员应当在第一时间做好安全响应,对服务器以及网站应以最快的时间恢复正常运行,让损失减少到最低,针对于黑客攻击的痕迹应该如何去查找溯源,还原服务器被攻击的现场,SINE安全公司制定了详细的服务器被黑自查方案。

目前网站服务器被攻击的特征如下:

网站被攻击:网站被跳转到赌博网站,网站首页被篡改,百度快照被改,网站被植入webshell脚本木马,网站被DDOS、CC压力攻击。

服务器被黑:服务器系统中木马病毒,服务器管理员账号密码被改,服务器被攻击者远程控制,服务器的带宽向外发包,服务器被流量攻击,ARP攻击(目前这种比较少了,现在都是基于阿里云,百度云,腾讯云,西部数码等云服务器)

关于服务器被黑我们该如何检查被黑?

账号密码安全检测:

首先我们要检查我们服务器的管理员账号密码安全,查看服务器是否使用弱口令,比如123456.123456789,123123等等密码,包括administrator账号密码,Mysql数据库密码,网站后台的管理员密码,都要逐一的排查,检查密码安全是否达标。

再一个检查服务器系统是否存在恶意的账号,以及新添加的账号,像admin,admin$,这样的账号名称都是由攻击者创建的,只要发现就可以大致判断服务器是被黑了。检查方法就是打开计算机管理,查看当前的账号,或者cmd命令下:net user查看,再一个看注册表里的账号。

通过服务器日志检查管理员账号的登录是否存在恶意登录的情况,检查登录的时间,检查登录的账号名称,检查登录的IP,看日志可以看680.682状态的日志,逐一排查。

服务器端口、系统进程安全检测:

打开CMD netstat -an 检查当前系统的连接情况,查看是否存在一些恶意的IP连接,比如开放了一些不常见的端口,正常是用到80网站端口,8888端口,21FTP端口,3306数据库的端口,443 SSL证书端口,9080 java端口,22 SSH端口,3389默认的远程管理端口,1433 SQL数据库端口。除以上端口要正常开放,其余开放的端口就要仔细的检查一下了,看是否向外连接。如下图:

再一个查看进程,是否存在恶意进程,像木马后门都会植入到进程当中去。新手如果不懂如何查看进程,可以使用工具,微软的Process Explorer,还有剪刀手,最简单的就是通过任务管理器去查看当前的进程,像linux服务器需要top命令,以及ps命令查看是否存在恶意进程。一般如果被黑,可以从以下几大方面判断,CPU占用过高,有些进程没有正式的签名,进程的路径不合法,不是系统目录。

服务器启动项、计划任务安全检测:

查看服务器的启动项,输入msconfig命令,看下是否有多余的启动项目,如果有检查该启动项是否是正常。再一个查看服务器的计划任务,通过控制面板,组策略查看。服务自启动,查看系统有没有自己主动启动一些进程。

服务器的后门木马查杀

下载360杀毒,并更新病毒库,对服务器进行全面的安全检测与扫描,修复系统补丁,对网站的代码进行人工的安全检测,对网站漏洞的检测,网站木马后门的检测,也可以使用webshell查杀工具来进行查杀,最重要的是木马规则库。

网站日志,服务器日志一定要提前开启,开启审核策略,包括一些服务器系统的问题,安装的软件出错,管理员操作日志,登录服务器日志,以便方便后期出现服务器被黑事件,可以进行分析查找并溯源。网站的日志也要开启,IIS下开启日志记录,apache等环境请直接在配置文件中进行日志的开启与日志路径配置。以上就是服务器被黑,该如何的查找被黑的痕迹,下一篇会跟大家讲如何更好的做好服务器的安全部署。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 服务器被人攻击之后 怎么查询和防范 原

    目前越来越多的服务器被入侵,以及攻击事件频频的发生,像数据被窃取,数据库被篡改,用户数据被脱裤,网站被强制跳转到恶意网站上,网站在百度的快照被劫持,等等的攻击症...

    网站安全专家
  • 网站服务器安全防护 防止被黑客攻击经验的分享

    在这里我跟大家分享一下关于服务器安全的知识点经验,虽说我很早以前想过要搞黑客技术,然而由于种种原因我最后都没有搞黑客技术,但是我一直都在很留意服务器安全领域的。

    网站安全专家
  • 服务器中木马怎么处理

    近日,某一客户网站服务器被入侵,导致服务器被植入木马病毒,重做系统也于事无补,目前客户网站处于瘫痪状态,损失较大,通过朋友介绍找到我们SINE安全公司,我们立即...

    网站安全专家
  • 第105天:Ajax 客户端与服务器基本知识

    - 按应用软件可分为:Apache服务器、Nginx 服务器、IIS服务器、Tomcat服务器、 weblogic服务器、WebSphere服务器、boss服务...

    半指温柔乐
  • Redis主从复制下的工作原理梳理

    Redis主从复制的配置十分简单,它可以使从服务器是主服务器的完全拷贝。需要清除Redis主从复制的几点重要内容: 1)Redis使用异步复制。但从Redis ...

    洗尽了浮华
  • 奔溃、卡顿、死机……互联网企业还需打造这一环

    互联网企业总是会反复经历业务极限场景,非常考验服务器的承压能力。爆点事件造成访问崩溃的事件早已屡见不鲜。

    刘旷
  • Redis系列——6.复制功能

    言归正传,今天要说的可是个大家伙,毕竟从现在开始,咱不整简单功能啦,整点厉害的,哈哈哈

    陈琛
  • 服务器配置选择?

    在如今大数据流量剧增的网络应用时代,服务器租用越来越成为众多企业和运营商的首选。而性能和配置不达标的服务器选择只会给企业带来诸多运营问题;但不经过实际需求的评估...

    咻一咻
  • VPS、物理服务器、虚拟主机、云服务器的含义与区别

    很多初学者不知道vps,物理服务器,虚拟主机,云服务器的含义和区别,今天与大家一起说说它们之间的含义和区别: VPS: VPS(Virtual Private ...

    青果网络
  • 物理服务器租用与云服务器的对比!

    无论企业网站还是电商网站都离不开服务器的支撑,个人站或者博客论坛也离不开服务器的支撑,但服务器的类型不同,服务器分为物理服务器、云服务器和虚拟主机,客户应根据自...

    青果云小潘

扫码关注云+社区

领取腾讯云代金券