服务器遭到攻击的处理过程

1、服务器遭到攻击的一般处理思路

（1）切断网络

（2）查找攻击源

通过分析系统日志和登录日志，查找可疑信息。通过查看系统打开了那些端口，运行了哪些进程，分析哪些是可疑程序。

（3）分析入侵原因和途径

（4）备份用户数据

（5）重新安装系统

（6）修复程序或系统漏洞

（7）恢复数据并连接网络

2、处理过程

（1）检查系统中的可疑用户

使用w命令查看登陆过系统的用户，可以看出用户名和登录地址

[root@master ~]# w
 06:41:21 up  8:17,  7 users,  load average: 0.00, 0.01, 0.04
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/3    10.0.0.1         03:21    2:58m  0.07s  0.07s -bash
root     pts/4    10.0.0.1         04:40    2:00m  0.03s  0.03s -bash
user01   pts/5    10.0.0.1         06:37    3:26   0.02s  0.02s -bash
user03   pts/6    10.0.0.1         06:38    2:33   0.03s  0.00s less -s

（2）锁定可疑用户

一般遭受攻击，会有一些本身无法登录系统的系统用户登录。一旦发现有这种用户，需要进行如下操作：

禁用/锁定用户登录系统的方法
1、usermod命令
   usermod -L username 锁定用户
   usermod -U username 解锁
2、passwd命令
   passwd -l username 锁定用户
   passwd -u username 解锁
3、修改用户的shell类型为/sbin/nologin（/etc/passwd文件里修改）
4、在/etc/下创建空文件nologin，这样就锁定了除root之外的全部用户

（3）通过last命令查看用户登录

[root@master ~]# last

此命令的来源是/var/log/wtmp，该文件是二进制文件，可以通过who命令查看

[root@master ~]# who -u /var/log/wtmp

root     pts/4        2020-04-04 04:40 03:32       20628 (10.0.0.1)
root     pts/0        2020-04-04 06:08   .         24900 (10.0.0.1)
root     pts/1        2020-04-04 06:36 00:35       26282 (10.0.0.1)
user01   pts/5        2020-04-04 06:37   ?         26416 (10.0.0.1)
user03   pts/6        2020-04-04 06:38 01:34       26485 (10.0.0.1)

（4）查看系统日志

/var/log/messages和/var/log/secure，这两个文件记录着软件的运行状态和用户远程登录状态。

此外，还可以查看每个用户家目录下的.bash_history，以及root用户的.bash_history

（5）检查系统可以进程

通过ps -ef查看进程，得到pid后，通过lsof命令查看打开的文件和端口

[root@master ~]# lsof -p PID

也可以使用pidof命令

[root@master ~]# pidof sshd
26497 26485 26278 24896 854

可以查看exe文件信息和服务打开的文件句柄

[root@master ~]# ls -l /proc/26485/exe 
lrwxrwxrwx. 1 root root 0 Apr  4 06:38 /proc/26485/exe -> /usr/sbin/sshd
[root@master ~]# ls -l /proc/26485/fd
total 0
lr-x------. 1 root root 64 Apr  4 06:38 0 -> /dev/null
lrwx------. 1 root root 64 Apr  4 06:38 1 -> /dev/null
lrwx------. 1 root root 64 Apr  4 06:38 2 -> /dev/null
lrwx------. 1 root root 64 Apr  4 06:38 3 -> socket:[70285]
lrwx------. 1 root root 64 Apr  4 06:38 4 -> socket:[69484]
lrwx------. 1 root root 64 Apr  4 06:38 5 -> /dev/ptmx
l-wx------. 1 root root 64 Apr  4 07:24 6 -> /run/systemd/sessions/17.ref
lrwx------. 1 root root 64 Apr  4 07:24 7 -> socket:[69488]

（6）检查网络

正常情况下网卡不应工作在混杂模式，否则可能存在sniffer

[root@master ~]#  ip l | grep PROMISC

（7）检查系统后门

[root@master ~]# cat /etc/crontab
[root@master ~]# ls /var/spool/cron/
[root@master ~]# cat /etc/rc.d/rc.local
[root@master ~]# ls /etc/rc.d
[root@master ~]# ls /etc/rc3.d

（8）有时候系统二进制可执行文件被更改，需要使用第三方工具检测

例如rkhunter工具 ，详见 https://www.cnblogs.com/zh-dream/p/12635523.html

（9）文件系统完整性检查

[root@master ~]# rpm -Va
S.5....T.  c /etc/sysconfig/authconfig
..5....T.  c /etc/ssh/ssh_config
.M.......  g /etc/pki/ca-trust/extracted/java/cacerts
.M.......  g /etc/pki/ca-trust/extracted/openssl/ca-bundle.trust.crt
.M.......  g /etc/pki/ca-trust/extracted/pem/email-ca-bundle.pem
.M.......  g /etc/pki/ca-trust/extracted/pem/objsign-ca-bundle.pem
.M.......  g /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem
.......T.  c /etc/selinux/targeted/contexts/customizable_types
S.5....T.  c /etc/bashrc
S.5....T.  c /etc/sudoers
S.5....T.  c /etc/issue
S.5....T.  c /etc/issue.net
S.5....T.  c /etc/yum/vars/contentdir
.M.......  g /boot/initramfs-3.10.0-862.el7.x86_64.img
S.5....T.  c /etc/ssh/sshd_config
....L....  c /etc/pam.d/fingerprint-auth
....L....  c /etc/pam.d/password-auth
....L....  c /etc/pam.d/postlogin
....L....  c /etc/pam.d/smartcard-auth
....L....  c /etc/pam.d/system-auth
.......T.  c /etc/named.conf
S.5....T.  c /etc/yum.conf

每个标记的含义如下：
S    表示文件长度发生了变化
M    表示文件的访问权限或文件类型发生了变化
5    表示MD5校验和发生了变化
D    表示设备节点的属性发生了变化
L    表示文件的符号链接发生了变化
U    表示文件、子目录、设备节点的owner发生了变化
G    表示文件、子目录、设备节点的group发生了变化
T    表示文件的最后一次修改时间发生了变化

如果在检测中有“M”标记的出现，说明对应的文件可能被篡改或者替换了，需要卸载这个RPM包重新安装。

常见的入侵情况

1）服务器出去的带宽会跑高这个是中毒的一个特征。
因为服务器中毒之后被别人拿去利用，常见的就是拿去当肉鸡攻击别人；再者就是拿你的数据之类的。
所以服务器带宽方面需要特别注意下，如果服务器出去的带宽跑很高，那肯定有些异常，需要及时检查一下！

2）系统里会产生多余的不明的用户
中毒或者被入侵之后会导致系统里产生一些不明用户或者登陆日志，所以这方面的检查也是可以看出一些异常的。

3）开机是否启动一些不明服务和crond任务里是否有一些来历不明的任务？
因为中毒会随系统的启动而启动的，所以一般会开机启动，检查一下启动的服务或者文件是否有异常，一般会在/etc/rc.local和crondtab -l 显示出来