怎么查服务器攻击?

服务器被入侵后如何查询连接IP以及防护措施

1、检查服务器进程是否存在可疑活动，管理员账号是否被未经授权增加，确认端口安全，避免开启不必要的端口。 审查服务器登陆日志，关注默认启动项、服务和计划任务，检查是否存在木马后门或病毒迹象。为了追踪到攻击者的外部IP地址，我们需要利用系统日志进行深入分析。

2、首先，拔掉网线是断开与网络的物理连接，从而保护自己和同网段的其他主机免受进一步的威胁。接着，进行深入的分析以确定入侵途径。通过检查登录文件信息，如/var/log/messages和/var/log/secure，可以追踪入侵者的IP地址，从而识别可能的漏洞。利用last命令也能帮助您了解最后登录的用户信息。

3、首先，分析登录文件以发现入侵者的IP地址和可能的漏洞。主要的登录文件包括/var/log/messages和/var/log/secure，通过这些文件可以获取详细信息。同时，使用last命令可以查找最后一个登录者的相关信息。其次，检查主机开放的服务，识别是否有未授权的服务或漏洞。

linux受到黑客攻击时怎么排查?

1、系统分析 对被入侵的服务器，需从用户信息、进程端口、可疑服务等多方面进行分析，搜集入侵信息。查看用户登录记录、远程登录用户、拥有sudo权限的用户以及执行的历史命令。通过netstat和ps命令检查异常端口和高CPU占用的进程，以识别潜在威胁。

2、找到挖矿程序的关键是识别和删除相关定时任务。在Linux系统中，通常使用crontab设置定时任务。通过执行crontab -e命令编辑root用户的crontab文件，我们可以查找是否存在可疑的定时任务。例如，发现怎么查服务器攻击了一个包含网址和IP地址的脚本，其内容为下载并执行名为a.sh的文件。

3、备份用户数据怎么查服务器攻击：在呗攻击后，需要里面备份服务器上的数据，同时也要查看数据中是否隐藏攻击源。如果攻击源在用户数据中，一定要彻底删除。然后将数据备份到一个安全的地方。

4、给怎么查服务器攻击你提供一个思路 首先判断怎么才算黑客入侵 比如root在某时段登录 再比如怎么查服务器攻击你是邮件服务器 文件服务器 还是WEB服务器。打个比方 如果是web服务器 应该放置注入上传和危险脚本。但这都需要一个判断。判断条件成立 就用邮箱来发从这个判断到139邮箱。139邮箱会变成短信送到你手机上。

5、虚拟主机服务商在运营过程中可能会受到黑客攻击，常见的攻击方式有SYN，DDOS等。通过更换IP，查找被攻击的站点可能避开攻击，但是中断服务的时间比较长。比较彻底的解决方法是添置硬件防火墙。不过，硬件防火墙价格比较昂贵。可以考虑利用Linux 系统本身提供的防火墙功能来防御。

6、攻击者通常会留下一系列痕迹，如文件修改时间等，这些痕迹对于系统管理员来说，是发现系统遭受攻击的重要线索。然而，这些痕迹并非绝对可靠，因为攻击者可以使用 Shell 脚本修改时间戳，实现对痕迹的隐藏。下面将详细介绍如何使用 Shell 脚本来隐藏 Linux 系统上的操作痕迹。

CPU占用率爆满,服务器遭遇挖矿如何排查

常规处理 - 检查用户信息： 使用`cat /etc/passwd` 和 `lastlog` 了解最近的登录活动。 - lastb 查看登录失败记录，`last` 检查用户最近登录情况。 - 检查是否有空口令账户： `awk -F ： length($2)==0 {print $1} /etc/shadow` 和 `cat /etc/ssh/sshd_config`。

首先，通过top或htop命令，我们发现PID为3701992的进程占用CPU高达4004%，显示出异常。其进程特征表现为拥有大量子进程，这是挖矿程序典型的表现。挖矿程序通常需要与外界通信，查看服务器网络连接，该进程与美国IP地址7111947有交互，进一步确认了挖矿行为。

首先，通过top或htop命令，发现PID为3701992的进程占用CPU高达4004%，显示异常。进一步观察，该进程拥有大量子进程，这是挖矿程序典型特征。检查服务器对外网络连接，发现在本地活动的进程与美国IP 7111947有交互。

进一步深入排查，使用netstat-antp命令发现有进程链接到特定IP地址，随后反查域名，发现该IP地址关联到log.softgoldinformation.com，进一步搜索发现该域名与多个挖矿病毒相关联。协商客户运维设置只允许访问国内IP地址，阻止了病毒连接外部矿池，有效降低了cpu占用率。

遭受长期CPU占用率100%问题的困扰，最终发现是挖矿木马作祟。清除木马后，新的模式出现，导致问题依然存在。经过排查，确定问题源于挖矿木马。使用Centos7系统时，重启后CPU占用率突然升至100%，但使用top、atop和htop命令无法查找到具体进程。

登录Linux系统，使用`top`指令检查CPU使用情况，发现名为`ld-linux-x86-64`的进程占用200%的CPU，疑似挖矿木马。记录进程ID为7531，开始排查。执行`pwdx 7531`命令，发现该进程执行目录为`/usr/local/games/.cache`。