云服务器如何查看被攻击

网站编辑2021-06-28 15:25:26315

　　云服务器如何查看被攻击？有时候云服务器出现异常，有可能是人为操作不当引起的，也有可能是系统被黑客入侵了。这里我们介绍下可以通过以下方面来检测云服务器是否被攻击了。
　　检查系统日志
　　检查系统登陆日志，统计IP重试登陆的次数。对于恶意登陆的系统行为，在日志中会留下蛛丝马迹，通过检查系统登陆日志，统计重试登陆的次数，能看到哪些IP及哪些用户在恶意登陆系统。
　　# lastb root | awk '{print $3}' | sort | uniq -c | sort -nr| more
　　检查系统用户

　　?对于入侵行为，往往通过检查系统用户，可以发现一些痕迹，比如有没有异常新增用户及提权用户。通过对系统用户的检查，是检测服务器攻击的重要方面。

　　1 查看是否有异常的系统用户
　　cat /etc/passwd
　　2 检查是否有新用户尤其是UID和GID为0的用户
　　awk -F":" '{if($3 == 0){print $1}}' /etc/passwd
　　检查是否存在空口令账户
　　awk -F: '{if(length($2)==0) {print $1}}' /etc/passwd
　　检查系统异常进程
　　?对于被入侵的系统，可以通过查看进程，确认有哪些异常非系统及非业务的进程在运行，通过对这些异样进程的检查，查找恶意程序的来源。
　　1 使用ps -ef命令查看进程
　　ps -ef
　　尤其注意UID为root的进程
　　2 查看该进程所打开的端口和文件
　　lsof -p pid
　　3 检查隐藏进程
　　ps -ef | awk '{print $2}'| sort -n | uniq >1; ls /proc |sort -n|uniq >2;diff -y -W 40 1 2