端口知识及被攻击方法

1、切断网路：所有攻击都来自网路，因此在得知系统正遭受攻击后，首先切断网路，保护服务器网路内的其他主机。2、找出攻击源：通过日志分析，查出可疑信息，同时也要查看系统打开了哪些端口，运行了哪些进程。3、分析入侵原因和途径：既然是遭到入侵，那么原因是多方面的，可能是系统漏洞，也可能是程序漏洞，一定要查清楚原因，并且查清楚攻击的途径，找到攻击源，只有找到了攻击原因和途径才能进行漏洞的删除和修复。4、备份用户数据：在呗攻击后，需要里面备份服务器上的数据，同时也要查看数据中是否隐藏攻击源。如果攻击源在用户数据中，一定要彻底删除。然后将数据备份到一个安全的地方。5、重装系统：不要以为清除了攻击源就是安全的，因为没人能比黑客更了解攻击程序，在服务器遭受攻击后，最简单的方法就是重装系统。因为大部分攻击都是依附在系统文件或者内核中。6、修复程序或系统漏洞：在发现程序漏洞或系统漏洞后，首先要做的是修复漏洞，只有将程序漏洞修复完毕才能在服务器上运行。7、恢复数据和连接网络：将备份的数据重新复制到新装的服务器上，然后开启服务，最后将服务器的网络连接开启，对外提供服务。二、检查并锁定可疑用户当发现服务器遭受攻击后，首先要切断网络连接，但是在有些情况下，比如无法马上切断网络连接时，就必须登录系统查看是否有可疑用户，如果有可疑用户登录了系统，那么需要马上将这个用户锁定，然后中断此用户的远程连接。 当发现服务器遭受攻击后，首先要切断网络连接，但是在有些情况下，比如无法马上切断网络连接时，就必须登录系统查看是否有可疑用户，如果有可疑用户登录了系统，那么需要马上将这个用户锁定，然后中断此用户的远程连接。1登录系统查看可疑用户通过root用户登录，然后执行“w”命令即可列出所有登录过系统的用户，通过这个输出可以检查是否有可疑或者不熟悉的用户登录，同时还可以根据用户名以及用户登录的源地址和它们正在运行的进程来判断他们是否为非法用户。2锁定可疑用户一旦发现可疑用户，就要马上将其锁定，例如上面执行“w”命令后发现nobody用户应该是个可疑用户(因为nobody默认情况下是没有登录权限的)，于是首先锁定此用户，执行如下 *** 作：[root@server ~]# passwd -l nobody锁定之后，有可能此用户还处于登录状态，于是还要将此用户踢下线，根据上面“w”命令的输出，即可获得此用户登录进行的pid值这样就将可疑用户nobody从线上踢下去了。如果此用户再次试图登录它已经无法登录了。3通过last命令查看用户登录事件last命令记录着所有用户登录系统的日志，可以用来查找非授权用户的登录事件，而last命令的输出结果来源于/var/log/wtmp文件，稍有经验的入侵者都会删掉/var/log/wtmp以清除自己行踪，但是还是会露出蛛丝马迹在此文件中的。

---