|
|
51CTO旗下网站
|
|
开户注册送38体验金端

安全运维:服务器遭受电子游艺免费申请彩金后该如何处理?

安全总是相对的,再安全的服务器也有可能遭受到电子游艺免费申请彩金。作为一个安全运维人员,要把握的原则是:尽量做好系统安全防护,修复所有已知的危险行为,同时,在系统遭受电子游艺免费申请彩金后能够迅速有效地处理电子游艺免费申请彩金行为,最大限度地降低电子游艺免费申请彩金对系统产生的影响。

作者:新用户注册送47元彩金湾服务器来源:今日头条|2019-05-09 15:31

安全总是相对的,再安全的服务器也有可能遭受到电子游艺免费申请彩金。作为一个安全运维人员,要把握的原则是:尽量做好系统安全防护,修复所有已知的危险行为,同时,在系统遭受电子游艺免费申请彩金后能够迅速有效地处理电子游艺免费申请彩金行为,最大限度地降低电子游艺免费申请彩金对系统产生的影响。

一、处理服务器遭受电子游艺免费申请彩金的一般思路

系统遭受电子游艺免费申请彩金并不可怕,可怕的是面对电子游艺免费申请彩金束手无策,下面就详细介绍下在服务器遭受电子游艺免费申请彩金后的一般处理思路。

1.切断网络

所有的电子游艺免费申请彩金都来自于网络,因此,在得知系统正遭受黑客的电子游艺免费申请彩金后,首先要做的就是断开服务器的网络连接,这样除了能切断电子游艺免费申请彩金源之外,也能保护服务器所在网络的其他主机。

2.查找电子游艺免费申请彩金源

可以通过分析系统日志或登录日志文件,查看可疑信息,同时也要查看系统都打开了哪些端口,运行哪些进程,并通过这些进程分析哪些是可疑的程序。这个过程要根据经验和综合判断能力进行追查和分析。下面的章节会详细介绍这个过程的处理思路。

3.分析入侵原因和途径

既然系统遭到入侵,那么原因是多方面的,可能是系统漏洞,也可能是程序漏洞,一定要查清楚是哪个原因导致的,并且还要查清楚遭到电子游艺免费申请彩金的途径,找到电子游艺免费申请彩金源,因为只有知道了遭受电子游艺免费申请彩金的原因和途径,才能删除电子游艺免费申请彩金源同时进行漏洞的修复。

4.备份用户新用户注册送47元彩金

在服务器遭受电子游艺免费申请彩金后,需要立刻备份服务器上的用户新用户注册送47元彩金,同时也要查看这些新用户注册送47元彩金中是否隐藏着电子游艺免费申请彩金源。如果电子游艺免费申请彩金源在用户新用户注册送47元彩金中,一定要彻底删除,然后将用户新用户注册送47元彩金备份到一个安全的地方。

5.重新安装系统

永远不要认为自己能彻底清除电子游艺免费申请彩金源,因为没有人能比黑客更了解电子游艺免费申请彩金程序,在服务器遭到电子游艺免费申请彩金后,最安全也最简单的方法就是重新安装系统,因为大部分电子游艺免费申请彩金程序都会依附在系统文件或者内核中,所以重新安装系统才能彻底清除电子游艺免费申请彩金源。

6.修复程序或系统漏洞

在发现系统漏洞或者应用程序漏洞后,首先要做的就是修复系统漏洞或者更改程序bug,因为只有将程序的漏洞修复完毕才能正式在服务器上运行。

7.恢复新用户注册送47元彩金和连接网络

将备份的新用户注册送47元彩金重新复制到新安装的服务器上,然后开启服务,最后将服务器开启网络连接,对外提供服务。

二、检查并锁定可疑用户

当发现服务器遭受电子游艺免费申请彩金后,首先要切断网络连接,但是在有些情况下,比如无法马上切断网络连接时,就必须登录系统查看是否有可疑用户,如果有可疑用户登录了系统,那么需要马上将这个用户锁定,然后中断此用户的远程连接。

1.登录系统查看可疑用户

通过root用户登录,然后执行“w”命令即可列出所有登录过系统的用户,如下图所示。

安全运维:服务器遭受电子游艺免费申请彩金后该择如何处理?

通过这个输出可以检查是否有可疑或者不熟悉的用户登录,同时还可以根据用户名以及用户登录的源地址和它们正在运行的进程来判断他们是否为非法用户。

2.锁定可疑用户

一旦发现可疑用户,就要马上将其锁定,例如上面执行“w”命令后发现nobody用户应该是个可疑用户(因为nobody默认情况下是没有登录权限的),于是首先锁定此用户,执行如下操作:

  1. [root@server ~]# passwd -l nobody 

锁定之后,有可能此用户还处于登录状态,于是还要将此用户踢下线,根据上面“w”命令的输出,即可获得此用户登录进行的pid值,操作如下:

  1. [root@server ~]# ps -ef|grep @pts/3  
  2. 531 6051 6049 0 19:23 ? 00:00:00 sshd: nobody@pts/3  
  3. [root@server ~]# kill -9 6051 

这样就将可疑用户nobody从线上踢下去了。如果此用户再次试图登录它已经无法登录了。

3.通过last命令查看用户登录事件

last命令记录着所有用户登录系统的日志,可以用来查找非授权用户的登录事件,而last命令的输出结果来源于/var/log/wtmp文件,稍有经验的入侵者都会删掉/var/log/wtmp以清除自己行踪,但是还是会露出蛛丝马迹在此文件中的。

三、查看系统日志

查看系统日志是查找电子游艺免费申请彩金源最好的方法,可查的系统日志有/var/log/messages、/var/log/secure等,这两个日志文件可以记录软件的运行状态以及远程用户的登录状态,还可以查看每个用户目录下的.bash_history文件,特别是/root目录下的.bash_history文件,这个文件中记录着用户执行的所有历史命令。

四、检查并关闭系统可疑进程

检查可疑进程的命令很多,例如ps、top等,但是有时候只知道进程的名称无法得知路径,此时可以通过如下命令查看:

首先通过pidof命令可以查找正在运行的进程PID,例如要查找sshd进程的PID,执行如下命令:

安全运维:服务器遭受电子游艺免费申请彩金后该择如何处理?

然后进入内存目录,查看对应PID目录下exe文件的信息:

安全运维:服务器遭受电子游艺免费申请彩金后该择如何处理?

这样就找到了进程对应的完整执行路径。如果还有查看文件的句柄,可以查看如下目录:

  1. [root@server ~]# ls -al /proc/13276/fd 

通过这种方式基本可以找到任何进程的完整执行信息,此外还有很多类似的命令可以帮助系统运维人员查找可疑进程。例如,可以通过指定端口或者tcp、udp协议找到进程PID,进而找到相关进程:

安全运维:服务器遭受电子游艺免费申请彩金后该择如何处理?

在有些时候,电子游艺免费申请彩金者的程序隐藏很深,例如rootkits后门程序,在这种情况下ps、top、netstat等命令也可能已经被替换,如果再通过系统自身的命令去检查可疑进程就变得毫不可信,此时,就需要借助于第三方工具来检查系统可疑程序,例如前面介绍过的chkrootkit、RKHunter等工具,通过这些工具可以很方便的发现系统被替换或篡改的程序。

五、检查文件系统的完好性

检查文件属性是否发生变化是验证文件系统完好性最简单、最直接的方法,例如可以检查被入侵服务器上/bin/ls文件的大小是否与正常系统上此文件的大小相同,以验证文件是否被替换,但是这种方法比较低级。此时可以借助于Linux下rpm这个工具来完成验证,操作如下:

安全运维:服务器遭受电子游艺免费申请彩金后该择如何处理?

对于输出中每个标记的含义介绍如下:

  • S 表示文件长度发生了变化
  • M 表示文件的访问权限或文件类型发生了变化
  • 5 表示MD5校验和发生了变化
  • D 表示设备节点的属性发生了变化
  • L 表示文件的符号链接发生了变化
  • U 表示文件/子目录/设备节点的owner发生了变化
  • G 表示文件/子目录/设备节点的group发生了变化
  • T 表示文件最后一次的修改时间发生了变化

如果在输出结果中有“M”标记出现,那么对应的文件可能已经遭到篡改或替换,此时可以通过卸载这个rpm包重新安装来清除受电子游艺免费申请彩金的文件。

不过这个命令有个局限性,那就是只能检查通过rpm包方式安装的所有文件,对于通过非rpm包方式安装的文件就无能为力了。同时,如果rpm工具也遭到替换,就不能通过这个方法了,此时可以从正常的系统上复制一个rpm工具进行检测。

对文件系统的检查也可以通过chkrootkit、RKHunter这两个工具来完成,关于chkrootkit、RKHunter工具的使用,下次将展开介绍。

【编辑推荐】

  1. 你知道吗?图形验证码可能导致服务器崩溃
  2. 十字符病毒是一只杀不死的小强,一次云服务器沦陷实录
  3. 360企业安全联合椒图科技 发布服务器自防护安全产品
  4. 一铲子下去,服务器全瘫痪......
  5. Facebook新用户注册送47元彩金再泄露 5.4亿新用户注册送47元彩金曝光于AWS服务器
【责任编辑:未丽燕 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

订阅专栏+更多

我的运维日志系统构建之路

我的运维日志系统构建之路

新用户注册送47元彩金驱动运维
共18章 | 我叫于小炳

198人订阅学习

CentOS文件服务的最佳实战

CentOS文件服务的最佳实战

涨薪跳槽必备技能
共15章 | 追风蚂蚁

90人订阅学习

小白网工宝典

小白网工宝典

一次搞定思科华为
共15章 | 思科小牛

505人订阅学习

视频课程+更多

华为下一代防火墙NGFW技术视频课程

华为下一代防火墙NGFW技术视频课程

讲师:谢斌17742人学习过

sql手工注入系列课程

sql手工注入系列课程

讲师:Hack_Man1000人学习过

Wireshark入门到精通【基础篇】

Wireshark入门到精通【基础篇】

讲师:郭主任4419人学习过

读 书 +更多

八万里路云和月——一个国家扶贫开发工作重点县的

通榆,这个距离各个交通枢纽都十万八千里的偏僻小县城,搭载着电子商务的快车,踏上了云高速,开辟了如火如荼的电商致富的新战场,实现了一...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO播客

博聚网