遭受黑客攻击后怎样查询被攻击了
安全总是相对的，再安全的服务器也有可能遭受到攻击。作为一个安全运维人员，要把握的原则是：尽量做好系统安全防护，修复所有已知的危险行为，同时，在系统遭受攻击后能够迅速有效地处理攻击行为，最大限度地降低攻击对系统产生的影响。
一、处理服务器遭受攻击的一般思路
系统遭受攻击并不可怕，可怕的是面对攻击束手无策，下面就详细介绍下在服务器遭受攻击后的一般处理思路。
1.切断网络
所有的攻击都来自于网络，因此，在得知系统正遭受黑客的攻击后，首先要做的就是断开服务器的网络连接，这样除了能切断攻击源之外，也能保护服务器所在网络的其他主机。
2.查找攻击源
可以通过分析系统日志或登录日志文件，查看可疑信息，同时也要查看系统都打开了哪些端口，运行哪些进程，并通过这些进程分析哪些是可疑的程序。这个过程要根据经验和综合判断能力进行追查和分析。下面的章节会详细介绍这个过程的处理思路。
3.分析入侵原因和途径
既然系统遭到入侵，那么原因是多方面的，可能是系统漏洞，也可能是程序漏洞，一定要查清楚是哪个原因导致的，并且还要查清楚遭到攻击的途径，找到攻击源，因为只有知道了遭受攻击的原因和途径，才能删除攻击源同时进行漏洞的修复。
4.备份用户数据
在服务器遭受攻击后，需要立刻备份服务器上的用户数据，同时也要查看这些数据中是否隐藏着攻击源。如果攻击源在用户数据中，一定要彻底删除，然后将用户数据备份到一个安全的地方。
5.重新安装系统
永远不要认为自己能彻底清除攻击源，因为没有人能比黑客更了解攻击程序，在服务器遭到攻击后，最安全也最简单的方法就是重新安装系统，因为大部分攻击程序都会依附在系统文件或者内核中，所以重新安装系统才能彻底清除攻击源。
6.修复程序或系统漏洞
在发现系统漏洞或者应用程序漏洞后，首先要做的就是修复系统漏洞或者更改程序bug，因为只有将程序的漏洞修复完毕才能正式在服务器上运行。
7.恢复数据和连接网络
将备份的数据重新复制到新安装的服务器上，然后开启服务，最后将服务器开启网络连接，对外提供服务。
二、检查并锁定可疑用户
当发现服务器遭受攻击后，首先要切断网络连接，但是在有些情况下，比如无法马上切断网络连接时，就必须登录系统查看是否有可疑用户，如果有可疑用户登录了系统，那么需要马上将这个用户锁定，然后中断此用户的远程连接。
1.登录系统查看可疑用户
通过root用户登录，然后执行“w”命令即可列出所有登录过系统的用户，如下图所示。
通过这个输出可以检查是否有可疑或者不熟悉的用户登录，同时还可以根据用户名以及用户登录的源地址和它们正在运行的进程来判断他们是否为非法用户。
2.锁定可疑用户
一旦发现可疑用户，就要马上将其锁定，例如上面执行“w”命令后发现nobody用户应该是个可疑用户（因为nobody默认情况下是没有登录权限的），于是首先锁定此用户，执行如下操作：
[root@server ~]# passwd -l nobody锁定之后，有可能此用户还处于登录状态，于是还要将此用户踢下线，根据上面“w”命令的输出，即可获得此用户登录进行的pid值，操作如下：
[root@server ~]# ps -ef|grep @pts/3 531 6051 6049 0 19:23 ? 00:00:00 sshd: nobody@pts/3 [root@server ~]# kill -9 6051这样就将可疑用户nobody从线上踢下去了。如果此用户再次试图登录它已经无法登录了。
3.通过last命令查看用户登录事件
last命令记录着所有用户登录系统的日志，可以用来查找非授权用户的登录事件，而last命令的输出结果来源于/var/log/wtmp文件，稍有经验的入侵者都会删掉/var/log/wtmp以清除自己行踪，但是还是会露出蛛丝马迹在此文件中的。
三、查看系统日志
查看系统日志是查找攻击源最好的方法，可查的系统日志有/var/log/messages、/var/log/secure等，这两个日志文件可以记录软件的运行状态以及远程用户的登录状态，还可以查看每个用户目录下的.bash_history文件，特别是/root目录下的.bash_history文件，这个文件中记录着用户执行的所有历史命令。
四、检查并关闭系统可疑进程
检查可疑进程的命令很多，例如ps、top等，但是有时候只知道进程的名称无法得知路径
被黑客攻击了，如何查他IP
估计你的服务器已经有木马了，防火墙对木马不好使，上次我们的服务器中了木马，瑞星，奇虎360 都查不出来。在系统时间正确的情况下，你可以考虑在安全模式下用卡巴查杀，尽量不用服务器上网
建议你只开启有用端口
外网 本地连接属性---高级----选项，TCP/IP筛选，属性，启用TCP/IP筛选，在这设置常用端口，如tcp 80 21 UDP 20 4000等，根据自己的应用程序需要
什么是黑客 / 查查362
一、什么是黑客
热衷于计算机技术，懂得C/C++编程知识的电脑爱好专家。系统、常用软件、网络软件不可避免存在某些安全漏洞，黑客的目的就是为了找出并弥补这些漏洞。
二、黑客必备知识：网络
1、IP地址
2、端口
23—telnet端口-----远程登录，入侵后可以留下后门木马。
135—RPC端口------远程溢出的大洞的端口，还有很多端口等等。
3、服务
服务就是service，比如HTTP服务器你就需要安装World Wide Web Publishing服务。服务实质是为他人提供服务的程序，这个程序会在开机时自动加载。其实所有服务后门都是Microsoft提供的，不用担心杀毒软件发现。
加入我们C语言C++学习交流 560655063即可获取最新黑客ID追踪技术
4、网络协议
指一套双方约定好的通信协议。网络协议分为很多种，作为一名合格黑客必须深入研究TCP/UDP。
三、黑客必须掌握专业技能
1、要学习计算机英文基础（尽量阅读英文资料、英文软件、国外著名的网络安全网站等）
2、掌握电脑基本软件的使用（FTP、PING、NET等，黑客工具：端口扫描器、漏洞扫描器、密码破解工具和信息截获工具等）。
3、熟悉网络协议和原理（网络是如何传递信息；客户端浏览器如何申请“握手信息”，服务器端如何“应答握手信息且接受请求”）
4、一定要有编程基础
建议大家学习C语言、汇编语言等
5、网络应用程序必须熟悉
网络应用程序包括服务器软件后台程序：wuftp、Apache等服务器后台。
四、黑客攻击特征
1、反攻击 核心技术问题（如何截获所有网络信息；Sniffer，Vpacket等程序）
2、Hacker主机攻击方式（系统缺陷、系统安全漏洞、通信协议的安全漏洞：拒绝服务攻击、非授权访问尝试、预探测攻击、可疑活动、协议解码、系统代理攻击）
五、黑客攻击流程
1、扫描漏洞
2、试探漏洞
3、取得权限与提升权限
4、通过木马入侵
5、建立后门并且清理痕迹
六、黑客攻击的入口—端口
1、已知端口（0-1023）
2、注册端口（1027-49151）
3、动态端口（49152-65535）
开启和关闭端口，在Windows系统中，我们可以使用自带的Netstat命令查看网络状况。
喜欢的话关注收藏评论转发一波 比心么么哒！加入我们C语言C++学习交流 560655063群内有大量的项目开发和新手教学视频千人大群等着你来加入。
Fport工具（查看当前系统打开的TCP/IP和UDP端口信息）：
开发免杀病毒：
免杀指反病毒，或者称为反间谍，反杀毒技术。
核心技术分类：
开源免杀：指在有病毒=木马源代码的前提下，通过修改源代码进行免杀
手工免杀：在仅有病毒、木马它的可执行文件(.exe)的情况进行免杀
修改方法：指令顺序调换方法、一键加壳方法、
文件免杀方法：加壳改壳、加壳指令等
如何查看是否被黑客入侵？
想多了。
黑客，才不会入侵你这个手机。
黑客目光的都是锁定在高价值的大型服务器上，没有闲心光顾你的手机。就好比川普，才不会关心你早晨吃的是韩伯格还是豪特刀哥。
0条大神的评论