新闻动态

随着互联网的飞速发展，网站越来越多，服务器安全也成为人们十分关注的话题，服务器入侵一直都是网络安全的一个重大的难题，那么如何判断自己的服务器是否被入侵了呢？下面快快网络甜甜给大家分享一下LINUX系统上一些入侵检测方法。

如何判断自己的服务器是否被入侵了呢？

1、检查系统密码文件：首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。检查一下passwd文件中有哪些特权用户，系统中uid为0的用户都会被显示出来。查看一下进程，看看有没有奇怪的进程。

重点查看进程：ps –aef | grep inetd，inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程，着重看inetd –s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中也仅仅是inetd –s，同样没有用inetd去启动某个特定的文件；如果你使用ps命令看到inetd启动了某个文件，而你自己又没有用inetd启动这个文件，那就说明已经有人入侵了你的系统，并且以root权限起了一个简单的后门。输入ps –aef 查看输出信息，尤其注意有没有以./xxx开头的进程。一旦发现异样的进程，经检查为入侵者留下的后门程序，立即运行kill –9 pid 开杀死该进程，然后再运行ps –aef查看该进程是否被杀死；一旦此类进程出现杀死以后又重新启动的现象，则证明系统被人放置了自动启动程序的脚本。这个时候要进行仔细查找：find / -name 程序名 –print，假设系统真的被入侵者放置了后门，根据找到的程序所在的目录，会找到很多有趣的东东JUNIX下隐藏进程有的时候通过替换ps文件来做，检测这种方法涉及到检查文件完整性，稍后我们再讨论这种方法。接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪。

2、检查系统守护进程：检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep –v “^#”，输出的信息就是你这台机器所开启的远程服务。一般入侵者可以通过直接替换http://in.xxx程序来创建一个后门，比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。

3、检查网络连接和监听端口输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接。输入netstat –rn，查看本机的路由、网关设置是否正确。输入 ifconfig –a，查看网卡设置。

4、检查系统日志，命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件。在linux下输入ls –al /var/log，在solaris下输入 ls –al /var/adm，检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。

 看完上面的介绍，相信大家对如何判断自己的服务器是否被入侵已经都有一定了解了吧！  厦门快快网络，是一家智能云安全管理服务商，专业提供云计算服务、云安全服务、数据中心租赁等互联网综合业务，为客户提供365天*24小时的运维技术支持，为客户提供贴身管家级服务，能及时完善地处理问题故障！快快网络客服甜甜QQ：177803619。电话call：15880219648