服务器被攻击检查问题一般流程

服务器被攻击检查问题一般流程

一、用root用户登录，然后 w 命令列出最近登录的用户

#passwd -l nobody(这个为可疑用户登录名)

查看是否现在依然登录

#ps -ef"grep @pts/3

531 6051 6049 0 19:23 ? 00:00:00 sshd: nobody@pts/3

#删除进程

# kill -9 6051

二、通过last命令查看用户登录事件

#last 命令的输出结果来源于/var/log/wtmp文件

三、查看系统日志

/var/log/messages、/var/log/secure

每个用户目录下的.bash_history文件

特别是/root目录下的.bash_history文件，

四、检查并关闭系统可疑进程

ps、top检查可疑进程

使用pidof命令查看运行进程的Pid  pidof sshd 13276 12942 4284进入

然后进入内存目录，查看对应PID目录下exe文件的信息 ls -al /proc/13276/exe 然后可以看到该进程对应的完整执行路径。

查看文件句柄

五、查看文件是否被改动

对文件系统的检查也可以通过chkrootkit、RKHunter这两个工具来完成

杀进程：

kill

法一、  ps -ef | grep httpd  kill -9 PID

法二 、  killall httpd