服務(wù)器被攻擊怎么辦？做好這幾點(diǎn)很重要

服務(wù)器被攻擊怎么辦?現(xiàn)在網(wǎng)絡(luò)攻擊是越來常見，做好服務(wù)器防御非常重要，因此選擇高防御的服務(wù)器在防御攻擊上是有很大的幫助作用的。但是如果我們服務(wù)器被攻擊，應(yīng)該怎么做呢?這篇網(wǎng)站展示了應(yīng)對(duì)服務(wù)器被攻擊要做的措施是什么。

檢查并鎖定異常用戶

1.登錄系統(tǒng)查詢

根據(jù)root用戶登錄，隨后實(shí)行“w”命令可列舉展示出來全部登錄過系統(tǒng)軟件的用戶。然后再根據(jù)這些信息來檢查是不是有異常的用戶，或是陌生的用戶登錄，另外還能夠按照用戶名及其登錄的源地址和他們已經(jīng)在運(yùn)轉(zhuǎn)的進(jìn)程來分辨她們是不是為非法用戶。

2.鎖定異常

一旦發(fā)覺異?；蚴悄吧脩?，就需要立刻將其鎖定，比如上邊實(shí)行“w”命令后發(fā)覺nobody用戶應(yīng)該是個(gè)異常用戶(由于nobody默認(rèn)設(shè)置狀況下是沒有登錄管理權(quán)限的)，因此最先鎖定此用戶，實(shí)行以下實(shí)際操作：

[root@server ~]# passwd -l nobody

鎖定以后，這一用戶其實(shí)還有可能是在線的，為了徹底驅(qū)逐，因此也要將此用戶強(qiáng)制踢下線，按照上邊“w”命令的輸出，就可以得到此用戶登錄進(jìn)行的pid值，實(shí)際操作以下：

[root@server ~]# ps -ef|grep @pts/3

53160516049019:23?00:00:00sshd:nobody@pts/3

[root@server ~]# kill -9 6051

那樣就將異常用戶nobody從網(wǎng)上踢下去了。假如此用戶再度嘗試登錄它早已無法登錄了。

3.根據(jù)last命令查詢用戶登錄事件

last命令紀(jì)錄著全部用戶登錄系統(tǒng)的系統(tǒng)日志，能夠用于搜索非受權(quán)用戶的登錄事件，而last命令的輸出結(jié)果來自/var/log/wtmp文件，一般有攻擊經(jīng)驗(yàn)的侵略者都是會(huì)刪除/var/log/wtmp以消除自身行跡，可只要做過就會(huì)有痕跡，因此還是會(huì)外露痕跡在這里文件中的。

查詢事件日志

查詢事件日志是搜索攻擊源最好是的方式，能查的事件日志有/var/log/messages、/var/log/secure等，這兩個(gè)系統(tǒng)日志文件能夠統(tǒng)計(jì)軟件的運(yùn)轉(zhuǎn)情況及其遠(yuǎn)程控制用戶的登錄情況，還能夠查詢每一個(gè)用戶文件目錄下的.bash_history文件，尤其是/root文件目錄下的.bash_history文件，這一文件中紀(jì)錄著用戶實(shí)行的全部歷史時(shí)間命令。

檢查并關(guān)掉異常進(jìn)程

檢查異常進(jìn)程的命令許多 ，比如ps、top等，可是有時(shí)只了解進(jìn)程的名字，不能獲知途徑，最先根據(jù)pidof命令能夠搜索已經(jīng)運(yùn)轉(zhuǎn)的進(jìn)程PID，隨后進(jìn)到運(yùn)行內(nèi)存文件目錄，查詢相匹配PID文件目錄下 exe文件的信息內(nèi)容。那樣就找到進(jìn)程相匹配的詳細(xì)實(shí)行途徑。假如也有查詢文件的句柄，能夠查詢以下文件目錄：

[root@server ~]# ls -al /proc/13276/fd

在一些情況下，網(wǎng)絡(luò)攻擊的程序掩藏很深，比如rootkits木馬程序，在這類狀況下ps、top、netstat等命令也很有可能早已被更換，假如再根據(jù)系統(tǒng)軟件本身的命令去檢查異常進(jìn)程就越來越絕不可靠， 這時(shí)，就必須憑借第三方專用工具來檢查系統(tǒng)軟件異常程序。

檢查文件系統(tǒng)軟件的完整性

檢查文件特性是不是產(chǎn)生變化是認(rèn)證文件系統(tǒng)軟件完整性非常簡單、最直觀的方式，比如，能夠檢查被侵入網(wǎng)絡(luò)服務(wù)器上/bin/ls文件的大小是不是與一切正常系統(tǒng)軟件上此文件的大小同樣，以認(rèn)證文件是不是被更換，可是這類方式較為低等。這時(shí)能夠憑借Linux下rpm這一專用工具來進(jìn)行認(rèn)證，假如在輸出結(jié)果中有“M”標(biāo)識(shí)出現(xiàn)，那麼相匹配的文件很有可能早已遭受偽造或更換，這時(shí)能夠根據(jù)卸載掉這一rpm包重裝來消除受攻擊的文件。

但是這一命令有一個(gè)局限，那便是只有檢查根據(jù)rpm包方法安裝的全部文件，針對(duì)根據(jù)非rpm包方法安裝的文件就束手無策了。另外，假如rpm專用工具也遭受更換，就不可以根據(jù)這一方式了，這時(shí)能夠從一切正常的系統(tǒng)軟件上拷貝一個(gè)rpm專用工具進(jìn)行檢驗(yàn)。

被攻擊

以上就是服務(wù)器的應(yīng)對(duì)措施，現(xiàn)在黑客攻擊那么猖獗，攻擊越來越兇猛，提升防護(hù)意識(shí)以及防護(hù)技術(shù)是很重要的，當(dāng)然最輕松的方式就是租用高防服務(wù)器，那樣服務(wù)器出現(xiàn)故障服務(wù)器服務(wù)商也能及時(shí)提供解決方案。

當(dāng)前名稱：服務(wù)器被攻擊怎么辦？做好這幾點(diǎn)很重要
分享路徑：http://www.muchs.cn/news17/204767.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站設(shè)計(jì)、網(wǎng)站維護(hù)、域名注冊、網(wǎng)站排名、移動(dòng)網(wǎng)站建設(shè)、小程序開發(fā)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)