Windows、Linux快速排查系统是否被黑

服务器问题 > Windows、Linux快速排查系统是否被黑

一、Windows

1.存在隐藏用户或异常用户

以Windows实例，右键运算机 -> 处理 -> 核实原生玩家和组，比如玩家或玩家组中有$字母符号，原因分析该玩家/玩家组被都隐藏，很有有机会被盗了。下述屏幕截图

2.异常进程

进行作业经营器了解有无具备发现异常阶段，好比phpstudy招黑后可能具备12345.exe类似于凯时手机版登录5结尾的阶段。还是其他temp为了方便接拉文书以经营员双重身份电脑运行

假若普通用户装有了phpstudy手机查看有某类号码应用程序

3.异常脚本或可执行文件

不错定期检查Windows常用的几条系統目次，表示动作的词C:\Windows、C:\Windows\System32，过量失常js，或可审理相关文件。

4.异常进程占用CPU

特别留意前进行程表述，程序运行观众是否需要施用了system/administrator应用权限较高的观众。

Windows安全建议

更改缺省无线无线连接表层。不使用的弱用户名和密码。不重新安装有什么故事不清的軟件（造问xx破解下载版、xx绿版）。布置相应的杀毒平台平台。常规账号作业mysql、mssql；要防止system或工作员作业。尽量用一些开启资料库跨网。依据官方团队update实时不断更新软件系统补丁怎么用。

总结

查询Windows顾客和组有无系统异常。目标安全管理器如何查看有没有占较高的系统发展、出错系统发展。浏览普通的总目录如C:\Windows是否有有异常的代码或可强制执行资料。进行检查的事件查验器是否需要有不正确客户/不正确IP进入。windows的守护进程中PID值0-999为模式的守护进程。

二、Linux

1.异常进程

还可以用top命令行查看手机什么情况下有占存CPU较高的历程，下列截频的历程失常，从而占存较高CPU

2.linux系统中出现类似Windows的目录或可执行文件

如若确定没有移动用户他上传视频的，很有可能操作系统被攻击或数据表格库被攻击

3.检查定时任务crontab

可以使用crontab -l检查定时任务是否异常，比如 1 20 * /bin/rm -rf /home/wwwroot计划执行删除wwwroot目录，可能存在异常。

看订时神器任务

[root@xiaoz home]# crontab -l
*/20 * * * * /usr/sbin/ntpdate pool.ntp.org > /dev/null 2>&1*
1 20 * * /bin/rm -rf /home/wwwroot

4.检查/etc/init.d/目录

检查报告这种名录是不是也有越来越材料，或许那些奇异的材料有着x可继续执行程序限权。ll -t依照规定周期编排，最新含有的、那些不认知的的服务，加载查验继续执行程序知识具体分析。

5.检查/etc/rc.local

vi /etc/rc.local 是否有加载异常启动。如果有都需核实是否正常。

6.检查/etc/passwd

vi /etc/passwd 是不是也有异常的银行帐户，第二个因素:500这说是之后建的银行帐户，别的则为设备的用户名.动用最常用强制性进行检查

history:查看历史命令
crontab -l:查看定时任务
cat /etc/passwd:查看已经创建的用户
cat /etc/group:查看组
who:当前在线用户
who /var/log/wtmp:最近登录情况
screen -ls:列出所有session

linux防护推荐。不装由来不清的快速代码。不应尽量不要单独便用root手机用户。选择十分更复杂的账户密码甚至选择win7密匙上线。重设SSH设置串口。关大sql远程管理相连接。

总结

捡查/etc/init.d/索引是否能够有失常文件名或授权失常。crontab -l排查会不会有异常情况的指定时间主线任务。top查询能否有越来越系统进程。who /var/log/wtmp浏览近来俩次扫码登录是不是有超时IP。linux pid应用程序PID值0-299为整体应用程序。

经验：

1.windows速度PID值0-999为装置速度；linux pid速度PID值0-299为装置速度。速度明称看一起是装置的，可是pid很高，那样速度就由机会是造假有毛病，需审查。2.windows\linux种类的进程名需知道。

账号服务

网站服务

备案问题

IDC服务

云服务器问题