我的网站遭攻击了，如何在linux中查看攻击日志

top命令，查看有没有异常进程占用大量的CPU或者是内存资源； 查看less /var/log/secure文件，查看ssh日志，看是否有非法用户大量尝试ssh； who命令，查看目前ssh到linux服务器的用户，是否是合法的； 查看在linux服务器上部署的应用是否有漏洞...

以下几种方法检测linux服务器是否被攻击：1、检查系统密码文件 首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。 2、查看一下进程，看看有没有奇怪的进程 重点查看进程：ps –aef | grep inetd inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果看到输出了一个类似inetd –s /tmp/.xxx之类的进程，着重看inetd –s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中也仅仅是inetd –s，同样没有用inetd去启动某个特定的文件；如果使用ps命令看到inetd启动了某个文件，而自己又没有用inetd启动这个文件，那就说明已经有人入侵了系统，并且以root权限起了一个简单的后门。3、检查系统守护进程 检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep –v “^#”，输出的信息就是这台机器所开启的远程服务。 一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。4、检查网络连接和监听端口 输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接。 输入netstat –rn，查看本机的路由、网关设置是否正确。 输入 ifconfig –a，查看网卡设置。 5、检查系统日志 命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件。 在linux下输入ls –al /var/log 检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。 6、检查系统中的core文件 通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。这种方式有一定的成功率，也就是说并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core –exec ls –l {} \依据core所在的目录、查询core文件来判断是否有入侵行为。7、检查系统文件完整性 检查文件的完整性有多种方法，通常通过输入ls –l 文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以man rpm来获得更多的格式。

现在可以在网上公开获得的日志清除程序代码很粗糙，我曾经看到过最夸张的清日志的代码像这样:

rm -rf /var/log/lastlog rm -rf /var/log/telnetd rm -rf /var/run/utmp rm -rf /var/log/secure rm -rf /root/.ksh_history rm -rf /root/.bash_history rm -rf /root/.bash_logut rm -rf /var/log/wtmp rm -rf /etc/wtmp rm -rf /var/run/utmp rm -rf /etc/utmp rm -rf /var/log rm -rf /var/adm rm -rf /var/apache/log rm -rf /var/apache/logs rm -rf /usr/local/apache/log rm -rf /usr/local/apache/logs rm -rf /var/log/acct rm -rf /var/log/xferlog rm -rf /var/log/messages rm -rf /var/log/proftpd/xferlog.legacy rm -rf /var/log/proftpd.access_log rm -rf /var/log/proftpd.xferlog rm -rf /var/log/httpd/error_log rm -rf /var/log/httpd/access_log rm -rf /etc/httpd/logs/access_log rm -rf /etc/httpd/logs/error_log rm -rf /var/log/news/suck.notice rm -rf /var/spool/tmp rm -rf /var/spool/errors rm -rf /var/spool/logs rm -rf /var/spool/locks rm -rf /usr/local/www/logs/thttpd_log rm -rf /var/log/thttpd_log rm -rf /var/log/ncftpd/misclog.txt rm -rf /var/log/ncftpd.errs rm -rf /var/log/auth rm -rf /root/.bash_history touch /root/.bash_history history Cr

整个一rm集合，要是服务器跑了很长时间，积累了很多日志。你这样一删除，的，你帮他省事了，他也省事，一眼就看出有人进来了。

先不说其他，用rm删除就不可取，正确的删除文件做法是用shred

shred -n 31337 -z -u file_to_delete

这样多次擦除才够安全。

---