例如，如果发现大量的未知IP地址在尝试连接服务器，或者发现服务器发送了大量的数据包到外部网络，那么可能存在服务器被攻击的风险。...通过在服务器上部署入侵检测系统，可以实时监控服务器的网络流量和系统行为，发现是否有异常的活动。入侵检测系统可以通过特定的规则或算法，对服务器的网络流量和系统行为进行分析，判断是否存在异常情况。...一旦发现异常活动，入侵检测系统可以及时发出警报，并采取相应的措施进行防护。第五步：定期备份和恢复无论我们采取了多么严密的安全措施，服务器被攻击的风险始终存在。...通过日志分析、网络流量监控、漏洞扫描、入侵检测系统和定期备份等措施，管理员可以及时发现服务器是否受到攻击，并采取相应措施进行防护。...上诉是小德总结出来还未被攻击的情况下,因为做的安全准备,下面小德再给大家介绍一下已经被入侵情况下,该做的处理1、服务器保护核实机器被入侵后，应当尽快将机器保护起来，避免被二次入侵或者当成跳板扩大攻击面。
今天一台服务器突然停了，因为是阿里云的服务器，赶紧去阿里云查看，发现原因是阿里云监测到这台服务器不断向其他服务器发起攻击，便把这台服务器封掉了 明显是被入侵做为肉鸡了 处理过程 （1）查看登陆的用户...当前只有自己 通过 last 查看，的确有不明ip登陆记录 （2）安装阿里云的安骑士 （3）修改ssh端口、登陆密码，限定指定IP登陆 （4）检查开机自启动程序，没有异常 （5）检查定时任务 发现问题...可以看到是被设置ssh免密码登陆了，漏洞就是redis 检查redis的配置文件，密码很弱，并且没有设置bind，修改，重启redis 删除定时任务文件中的那些内容，重启定时服务 （6）把阿里云中云盾的监控通知项全部选中...（7）配置iptables，严格限制各个端口 总结教训 根本原因就是安全意识薄弱，平时过多关注了公司产品层面，忽略了安全基础 从上面的处理过程可以看到，没有复杂的东西，都是很基本的处理方式 对服务器的安全配置不重视...、阿里云已有的安全设置没有做、阿里云的安全监控通知没有重视 网络安全是很深奥的，但如果提高安全意识，花点心思把安全基础做好，肯定可以避免绝大部分的安全事故 这个教训分享给向我一样系统安全意识不高的服务器管理者
早上到公司发现zabbix有一个报警：一台服务器的CPU使用率达到100%！...1.立即登录该服务器查看CPU top10 ps aux | head -1; | ps aux | grep -v PID | sort -rn -k 4 |head 发现 有一个yam开头的进程CPU...已经占用120%，（此处无截图） 经确认，并非业务上的应用，凭经验分析，可以断定是被入侵了。...打开看一下里面的内容发现是一个挖矿机。 ? 3.查看下登录日志 last ?...在里面的文件发现软件的作者 ?
记录一次查询清除木马过程 木马名称： Linux.BackDoor.Gates.5 链接：https://forum.antichat.ru/threads/413337/ 前两天服务器被扫描后...，出现莫名进程，清理后重启，也把原来的SSH密码登陆改为公钥，仅仅过去两天，一早登陆服务器发现一个进程直接懵了，清掉我ROOT所有文件。...进程杀了又起来，文件删了又自动生成，无奈之下只好想了一个怪招，把/bin/bash重命名一下 再查询基础命令是否被掉包： ? 对比下其他在正常服务器的显示如下： ? 怒了有没有！...那就删掉被更改的，从其他同配置服务器拷贝一份。 记的拷贝过来要给予755 权限。 1 ?...注意rm命令也被掉包了，需要更换！
思路细化 一、核实信息（运维/安全人员） 根据安全事件通知源的不同，分为两种： 1.外界通知：和报告人核实信息，确认服务器/系统是否被入侵。...这种情况入侵的核实一般是安全工程师完成。 2.自行发现：根据服务器的异常或故障判断，比如对外发送大规模流量或者系统负载异常高等，这种情况一般是运维工程师发现并核实的。...核实机器被入侵后，应当尽快将机器保护起来，避免被二次入侵或者当成跳板扩大攻击面。...4.其他入侵 其他服务器跳板到本机 5.后续行为分析 History日志：提权、增加后门，以及是否被清理。...这次主要介绍了服务器被入侵时推荐的一套处理思路。
在最新的软件供应链攻击中，PHP官方Git仓库被黑客攻击，代码库被篡改。 ?...PHP Git服务器被植入RCE后门 PHP是一种开源的计算机脚本语言，为互联网上超过79%的网站提供动力。因此，事件一经曝光被引起了强烈关注。...不过，PHP相关负责人表示，恶意提交在提交几小时后，就在他们进行常规的代码审查时被发现。这些更改的恶意很明显，所以很快被还原了。 对于Git这样的源代码版本控制系统来说，这样的事件会发生很正常。...并且，从现在开始，任何修改都要直接推送到GitHub上而不是原先的服务器。 那些想要帮助PHP的人可以申请在GitHub上被添加为PHP组织的一部分。...目前，PHP还在检查除了那两个恶意提交外的威胁，并且检查是否有任何代码在恶意提交被发现之前被分发到下游。
当windows服务器遭到入侵时，在运行过程中经常需要检索和深入分析相应的安全日志。...系统日志信息在windows系统软件运行过程中会不断地被记录，依据记录的种类能够分成系统日志、IIS系统日志、ftp客户端系统日志、数据库系统日志、邮件服务系统日志等。...溯源日志排查总结：首先确认下网站被入侵后篡改文件的修改时间，然后查看下网站日志文件中对应时间点有无POST的日志URL，然后筛选出来查下此IP所有的日志就能确定是否是攻击者，如果服务器被入侵的话可以查询系统日志看下最近时间的登录日志...，以及有无增加默认管理员用户之类的，如果想要更详细的查询是如何被入侵的话可以寻求网站安全公司的帮助，推荐SINESAFE,鹰盾安全，绿盟，启明星辰，大树安全等等这些都是很不错的网站安全公司。
如果你买的是云服务器，比如说腾讯云、阿里云这种，一旦你登录了你的服务器，随后没有设置安全组、密钥、用户、IP，或者没有修改密码、默认端口，那么你的服务器就很容易被入侵，一般是被挖矿，或者被操控当做DDOS...我经历过的三种被黑的情况： 挖矿（目前也是最多的） DDOS（操控你的服务器攻击其他网站） 勒索（删库） 本篇文章来介绍一些常见的服务器入侵排查方法。...1、宕机 这个是最常见的，一般你的服务器被入侵了，服务器的进程就被杀死了，万一某一天你的网站打不开了，MySQL、Redis都挂了，基本上就是被黑了。...2、日志 2.1、日志记录 入侵者可能会删除机器的日志信息，可以查看日志信息是否还存在或者是否被清空。...IP（一般都是代理的IP） 2.7、top命令 top命令可以很容易知道服务器的CPU压力，还有进程消耗的CPU资源，如果是挖矿，很容易就被发现了。
如何判断自己的服务器是否被入侵了呢？仅仅靠两只手是不够的，但两只手也能起到一些作用，我们先来看看UNIX系统上一些入侵检测方法，以LINUX和solaris为例。...接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪。...入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件...6、检查系统中的core文件 通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。...4）可以通过手工入侵检测发现主机上的某些漏洞，进而作出相应的安全措施。但却避免不了一种现象：无法避免两个入侵者利用同一个漏洞攻击主机，即无法判断攻击模式来切断入侵行为。
随着开源产品的越来越盛行，作为一个Linux运维工程师，能够清晰地鉴别异常机器是否已经被入侵了显得至关重要，个人结合自己的工作经历，整理了几种常见的机器被黑情况供参考： 背景信息：以下情况是在CentOS...1.入侵者可能会删除机器的日志信息 可以查看日志信息是否还存在或者是否被清空，相关命令示例： 2.入侵者可能创建一个新的存放用户名及密码文件 可以查看/etc/passwd及/etc/shadow文件...可以使用命令“tcpdump”抓取网络包查看流量情况或者使用工具”iperf”查看流量情况 9.可以查看/var/log/secure日志文件 尝试发现入侵者的信息，相关命令示例： 10.查询异常进程所对应的执行脚本文件...3、当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。...假设入侵者将/var/log/secure文件删除掉了，尝试将/var/log/secure文件恢复的方法可以参考如下： a.查看/var/log/secure文件，发现已经没有该文件 b.使用lsof
故事情节： 有一天在聚餐中，我有一个朋友和我说他的服务器上有有个异常的进程他一直在占满CPU在运行，我在一顿谦虚之后答应了他，有空登录上他的服务器看一下具体情况。...就是以上三张图，在proc目录中的exe指向的文件已被删除，我看到这里，我好奇这个进程肯定是被隐藏掉了。这时，我急中生智跟这位朋友要了root账号密码。...登录服务器用top命令一看，发现一个奇怪的进程在运行，我使用kill命令将其杀后，等了十来分钟后，发现没有被启动，这时我和这位朋友说干掉了，他问我是不是kill掉了，我说嗯，他又补充到，这个进程杀掉过段时间会起来的...没过多久，我又看了一下，发现这个进程换了个名字又启动了。...还干满了CPU，就在这时，我在研究这个进程运行文件的时候发现： 这个进程会连到一个韩国的服务器上，我访问这个IP发现是一个正常的网站，没有异常情况。
我们的服务器为了最好性能，防火墙（iptables）什么的都没有开启，但是服务器前面有物理防火墙，而且机器都是做的端口映射，也不是常见的端口，按理来说应该是满安全的，可能最近和木马有缘吧，老是让我遇到，...1.png 2、top动态查看进程 我马上远程登录出问题的服务器，远程操作很卡，网卡出去的流量非常大，通过top发现了一个异常的进程占用资源比较高，名字不仔细看还真以为是一个Web服务进程。...ps命令的大小，正常的大约是81KB，然后这台机器上面的ps却高达1.2M，命令文件肯定是被替换了。...与4月相比，2014年5月Doctor Web公司的技术人员侦测到的Linux恶意软件数量创下了新纪录，六月份这些恶意软件名单中又增加了一系列新的Linux木马，这一新木马家族被命名为Linux.BackDoor.Gates...与命令服务器设置连接后，Linux.BackDoor.Gates.5接收来自服务器的配置数据和僵尸电脑需完成的命令。
首先，小Z用更新库的漏扫对系统层面的漏洞检测，未发现任何异常；由于会有开发连接进这台服务器，他去开发那里收集工具软件进行查毒处理，也没发现异常，排除通过软件带入病毒的可能；那难道是通过应用层漏洞进来的？...不急，进一步搜索NewRat，小Z发现了更大的信息量:在wcmoye被创建的前一秒 20：24：10，tomcat7.exe去调用cmd.exe执行了一段比较长的脚本， ?...而且其中有一个关键的发现，就是小Z所在公司的网站接口居然在一个叫http.txt的list里面 ? 到这里，小Z已经大致猜得出自己的公司网站是怎么被盯上的了。...至此，这次入侵的来龙去脉，小Z已经调查清楚了。...由于网站使用了struts框架 版本为2.5.10，存在struts2-045漏洞，黑客通过公网扫描找到网站，进而执行exploit把病毒程序传到服务器里面执行，不停的病毒警告是因为不断有人在公网利用漏洞入侵服务器
不一会运维的同事也到了，气喘吁吁的说：我们有台服务器被阿里云冻结了，理由：对外恶意发包。我放下酸菜馅的包子，ssh连了一下，被拒绝了，问了下默认的22端口被封了。...写这个配置，自然也就是利用了redis把缓存内容写入本地文件的漏洞，结果就是用本地的私钥去登陆被写入公钥的服务器了，无需密码就可以登陆，也就是我们文章最开始的/root/.ssh/authorized_keys...由此可以推断，应该是root帐号被暴力破解了，为了验证我的想法，我lastb看了一下，果然有大量的记录： ? 还剩最后一个问题，这个gpg-agentd程序到底是干什么的呢？...于是，顺手把这个gpg-agentd拖到ida中，用string搜索bitcoin, eth, mine等相关单词，最终发现了这个： ?...1，禁用公网IP监听，包括0.0.0.0 2，使用密码限制访问redis 3，使用较低权限帐号运行redis 到此，整个入侵过程基本分析完了，如果大家对样本有兴趣，也可以自行去curl，或是去虚拟机执行上面的脚本
最近看到有人的YAPI接口管理平台服务器被黑了。发现这个漏洞好像部分还存在，漏洞利用前提还是在注册用户的前提下。所以应急方式也是先关闭注册功能，排查已经注册的用户。看看有没有恶意用户。...版本号 版本: 1.9.2 什么问题 服务器被入侵了, 阿里云报的: -[25877] PM2 v4.4.0: God Daemon (/root/.pm2) -[26378] node server...20000;chmod 777 20000;./20000 -[31502] ./20000 -[31503] ./20000 该告警由如下引擎检测发现
不一会运维的同事也到了，气喘吁吁的说：我们有台服务器被阿里云冻结了，理由：对外恶意发包。 我放下酸菜馅的包子，SSH 连了一下，被拒绝了，问了下默认的 22 端口被封了。...结果就是用本地的私钥去登陆被写入公钥的服务器了，无需密码就可以登陆，也就是我们文章最开始的 /root/.ssh/authorized_keys。 登录之后就开始定期执行计划任务，下载脚本。...由此可以推断，应该是 root 帐号被暴力破解了，为了验证我的想法，我 lastb 看了一下，果然有大量的记录： ? 还剩最后一个问题，这个 gpg-agentd 程序到底是干什么的呢？...于是，顺手把这个 gpg-agentd 拖到 ida 中，用 string 搜索 bitcoin、eth、 mine 等相关单词，最终发现了这个： ?...Redis 禁用公网 IP 监听，包括 0.0.0.0 使用密码限制访问 Redis 使用较低权限帐号运行 Redis 至此，整个入侵过程基本分析完了，如果大家对样本有兴趣，也可以自行去Curl，或是去虚拟机执行上面的脚本
网站程序的采用： 尽量采用大厂商提供的程序 关注一些安全厂商以及官方微博，第一时间获取是否出现新漏洞 市面上开源所能提供的已经很广泛了，没有特殊需要无所谓非要自己重新写套程序 服务器权限的配置：...我的观点： 网站没有永远的安全 能否入侵成功取决于你的价值有多少 安全意识存在潜意识，网站权限最小化 “只要有时间，漏洞分分钟。”
有小伙伴问：Windows系统日志分析大多都只是对恶意登录事件进行分析的案例，可以通过系统日志找到其他入侵痕迹吗？ 答案肯定是可以的，当攻击者获取webshell后，会通过各种方式来执行系统命令。...我们通过一个攻击案例来进行windows日志分析，从日志里识别出攻击场景，发现恶意程序执行痕迹，甚至还原攻击者的行为轨迹。...我们通过LogParser做一个简单的筛选，得到Event ID 4688，也就是创建新进程的列表，可以发现用户Bypass，先后调用cmd执行whami和systeminfo。...这里涉及进程创建和对象访问事件，包括schtasks.exe进程的创建和Event ID 4698发现新建的计划任务。成功找到计划任务后门位置： ?
0x00 前言 故事是这样的，大年初一，客户反应他们服务器无法访问，查看路由，发现某oracle+tomcat服务器UDP流量超大，把带宽占完了，过年嘛，客户那边先找了当地的技术人员弄了几天没搞定，然后没办法大年初三的找我们弄...并查看文件创建时间，与入侵时间吻合。 ? 顺便把文件拷贝下来放到kali虚拟机试了下威力，几秒钟的结果如下... ? ? 之前还以为是外国人搞的，这应该能证明是国人搞的了... ?...中间尝试过很多过程，ps –ef |grep 发现父进程每次不一样，关联进程有时是sshd，有时是pwd，ls，中间装了个VNC连接，然后关闭ssh服务，同样无效，而且kill几次之后发现父进程变成了...既然被人入侵了，首先还是把防火墙的SSH映射关掉吧，毕竟服务器现在还要用，还是写几条iptables规则吧 iptables -A OUTPUT -o lo -j ACCEPT 允许本机访问本机 iptables...如上图，使用印尼IP爆破成功，而后面服务器内网IP登陆竟然是失败，问了客户，算是明白了怎么回事，他们年底加设备，给服务器临时改了弱密码方便各种第三方技术人员调试，然后估计忘了改回来，结果悲剧了，被坏人登陆了不说
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
