如何排查做事器被入侵攻击的痕迹呢？是否有应急处理方案，在不影响网站访问的情形下，很多客户涌现以长进击情形的时候，找到我们来处理办理做事器被攻击问题，我们工程师总结了一套自有的办法，分享给大家，希望大家能在第一韶光办理掉做事器被黑的问题。有些客户碰着这种情形，第一韶光想到的便是先把做事器关机，关照机房拔掉电源，有的是直接先关闭网站，这些方法只能先办理目前的问题，办理不了问题的根源，以是碰着做事器被攻击的情形，我们该当详细的检讨日志，以及入侵痕迹，溯源，查找漏洞，到底是哪里导致的做事器被入侵攻击。
首先我们该当从以下方面入手：
检讨做事器的进程是不是有恶意的进程，以及管理员账号是否被恶意增加，对做事器的端口进行查看，有没有开启多余的端口，再一个对做事器的上岸日志进行检讨，做事器的默认开启启动项，做事以及操持任务，检讨网站是否存在木马后门，以及做事器系统是否中病毒。
如何查看进程？打创办事器，在cmd命令下输入tasklis，或者是右键任务管理器来进行查看进程，点显示所有用户的进程就可以，我们综合的剖析，根据这个内存利用较大，CPU占用较多来初步的看下，哪些进程在一直的利用，就能大概判断出有没有非常的进程，一样平常来说加载到进程的都是系统后门，查看到进程详细信息利用PID来查看，再用命令findstr来查找进程调用的文件存放在哪里。截图如下：
接下来便是查看系统是否存在其他恶意的管理员账号,cmd命令下输入net user就会列出当前做事器里的所有账号，也可以通过注册表去查扼守理员账号是否被增加，注册表这里是须要在命令中输入egedit来打开注册表，找到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names可以看到所有的账号名字。截图如下：
端口方面的检讨，比如一些客户做事器常常遭受攻击像3306数据库端口，21FTP端口，135,445端口，1433sql数据库端口，3389远程桌面端口，是否是对外开放，如果这些端口对外开放，很有可能利用漏洞进行攻击，入侵，还有弱口令账号密码，有些数据库的root账号密码为空，以及FTP可以匿名连接，都可以导致做事器被入侵。有些密码还是123456,111111等等。远程桌面的端口要修正掉，尽可能的防止攻击者利用暴力破解的手段对做事器进行上岸。可以对远程上岸这里做安全验证，限定IP，以及MAC，以及打算机名，这样大大的加强了做事器的安全。还要对做事器的上岸日志进行检讨，看下日志是否有被清空的痕迹，跟做事器被恶意上岸的日志记录，一样平常来说很多攻击者都会上岸到做事器，肯定会留下上岸日志，检讨事宜682就可以查得到。
接下来要对做事器的启动项，做事以及操持任务进行检讨，一样平常攻击者提权入侵做事器后，都会在做事器里植入木马后门，都会插入到启动项跟操持任务，或者做事当中去，稠浊成系统做事，让管理员无法察觉，利用msconfig命令对做事器进行查看。
注册表这里要检讨这几项：
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ HKEY_CLASSES_ROOT\exefile\shell\open\command
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
最主要的是对做事里的网站代码进行安全检测，比拟之前网站的备份文件，看下有没有多出一些可疑的代码文件，图片格式的可以忽略，紧张是一些asp，aspx，php，jsp等脚本实行文件，对代码查看是否含有eval等分外字符的一句话木马webshell,还有些加密的文件，都有可能是网站木马文件，网站的首页代码，标题描述，是否被加密，一些你看不懂的字符，这一样平常是网站被入侵了，一步一步导致的做事器被攻击。
整体上的做事器被入侵攻击排查便是上面讲到的，还有一些是做事器安装的软件，以及环境，像apache,strust2，IIS环境漏洞，都会导致做事器被入侵，如果网站被修改，一定要检讨网站存在的漏洞，是否存在sql注入漏洞，文件上传漏洞，XSS跨站漏洞，远程代码实行漏洞，从多个方向去排查做事器被入侵攻击的问题。如果对做事器不是太懂，可以找专业的网站安全公司去处理，以上便是我们日常处理客户做事器总结的一套自有的方法去排查，找问题，溯源追踪，彻底的防止做事器连续被黑，将丢失降到最低。每个客户的做事器安装的环境不一样，以及代码如何编写的，根据实际情形来排查办理问题。
