我的网站服务器被入侵了该怎么办？

最近有用户咨询到德迅云安全，说自己再用的网站服务器遇到了入侵情况，询问该怎么处理入侵问题，有什么安全方案可以解决服务器被入侵的问题。下面，我们就来简单讲下服务器遇到入侵了，该从哪方面入手处理，在预防和处理服务器入侵问题上，有没什么其他安全措施？

如果我们遇到服务器被入侵了，可以做以下的一些应对处理：

1、立即更改服务器上所有账户的密码，包括管理员账户、数据库账户等。确保使用复杂的、随机的密码。

2、检查cron里是不是出现大量不归你设置的。查看/etc/crontab，/etc/cron.d，/etc/cron.daily，cron.hourly/，cron.monthly，cron.weekly/是否存在可疑脚本或程序。

3、top看下最近哪些耗费最多，尤其worker之类的，查看下有没有自己不认识的。

4、less /var/log/secure|grep 'Accepted'命令，查看是否有异常IP登录器过服务器

5、检查系统所用的管理端口（SSH、FTP、MySQL、Redis 等）是否为默认端口，这些默认端口往往被容易自动化的工具进行爆破成功。

6、编辑/etc/ssh/sshd_config文件中的 Port 22，将22修改为非默认端口，修改之后需要重启 ssh 服务。

7、运行/etc/init.d/sshd restart（CentOS）或 /etc/init.d/ssh restart（Debian / Ubuntu）命令重启使配置生效。

8、修改 FTP、MySQL、Redis 等的程序配置文件的默认监听端口21、3306、6379为其他端口。

9、限制远程连接的 IP，编辑/etc/hosts.deny 、/etc/hosts.allow两个文件来限制 IP。

10、使用命令usermod -L 用户名禁用用户或者使用命令userdel -r 用户名删除用户。

11、运行netstat -antp查看服务器是否有未被授权的端口被监听，查看下对应的 pid。若发现有非授权的进程，运行ls -l /proc/$PID/exe或file /proc/$P