如何看Linux服务器是否被攻击

以下几种方法检测linux服务器是否被攻击：

1、检查系统密码文件

首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。

2、查看一下进程，看看有没有奇怪的进程

重点查看进程：ps –aef | grep inetd inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果看到输出了一个类似inetd –s

/tmp/.xxx之类的进程，着重看inetd

–s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中

也仅仅是inetd

–s，同样没有用inetd去启动某个特定的文件；如果使用ps命令看到inetd启动了某个文件，而自己又没有用inetd启动这个文件，那就说明已经有人入侵了系统，并且以root权限起了一个简单的后门。

第一：你看一下的定时任务里面有没有可疑的，有没有不是你设置的，用crontab -l查看，如果发现有就crontab -e 进去把他删掉，然后保存退出。

第二： 查看 cat /etc/rc.local 开机启动文件里面有没有可疑程序，脚本或者命令，如果有就进去删掉。 （如果允许重启的话，删掉后最好重启一下）

第三：你说定时会去发送垃圾邮件？？ 如果你们那台服务器没有发邮件的业务，那你就把服务器上的邮件服务关掉，并设置开机不启动

第四： 修改daemon用户为不能登陆， 去/etc/passwd中，把daemon的改为/sbin/nologin

第五：查看日志，查找服务器是否已经被入侵或者正在被攻击，如/var/log/secure (这是安全日志，系统不一样可能名字不一样) /var/log/messages, /var/log/btmp 等日志

第六： 增强服务器安全，马上修改密码和ssh端口，密码要尽量复杂，不要有规律，最好用mkpasswd -l 16 -d 4 -c 4 -C 4 -s 4 生成一个复杂密码，端口把默认的22改成大一些的

---