再安全的服务器都有概率被攻击,就算一个没有访问量的个人博客也有被攻击的概率发生。今天跟大家讲讲当我们的服务器被攻击了到底该如何处理。首先我们要分析到底是什么类型的攻击,目前比较常见的就是分布式拒绝服务攻击以及技术含量相对较高的渗透入侵。今天简单与大家分享分布式拒绝服务攻击和入侵的防御方法。
一、分布式拒绝服务攻击
分布式拒绝服务攻击原理分布式拒绝服务攻击DDoS是一种基于DoS的特殊形式的拒绝服务攻击,是一种分布的、协同的大规模攻击方式。一个完整的DDoS攻击体系由攻击者、主控端、代理端和攻击目标四部分组成。主控端和代理端分别用于控制和实际发起攻击,其中主控端只发布命令而不参与实际的攻击,代理端发出DDoS的实际攻击包。对于主控端和代理端的计算机,攻击者有控制权或者部分控制权.它在攻击过程中会利用各种手段隐藏自己不被别人发现。真正的攻击者一旦将攻击的命令传送到主控端,攻击者就可以关闭或离开网络.而由主控端将命令发布到各个代理主机上。每一个攻击代理主机都会向目标主机发送大量的服务请求数据包,这些数据包经过伪装,无法识别它的来源,而且这些数据包所请求的服务往往要消耗大量的系统资源,造成目标主机无法为用户提供正常服务。甚至导致系统崩溃。
解决方案:我们可以考虑使用高防CDN或者高防IP相关服务产品,来规避DDoS对源服务器或者源IP的骚扰。
二、入侵
当我们服务器被入侵后我们该做的事情:
账号密码安全检测:
1.首先我们要检查我们服务器的管理员账号密码安全,查看服务器是否使用弱口令,包括administrator账号密码,Mysql数据库密码,网站后台的管理员密码,都要逐一的排查,检查密码安全是否达标。
2.再一个检查服务器系统是否存在恶意的账号,以及新添加的账号,像admin,admin$,这样的账号名称都是由攻击者创建的,只要发现就可以大致判断服务器是被黑了。检查方法就是打开计算机管理,查看当前的账号,或者cmd命令下:net user查看,再一个看注册表里的账号。
3.通过服务器日志检查管理员账号的登录是否存在恶意登录的情况,检查登录的时间,检查登录的账号名称,检查登录的IP,看日志可以看680.682状态的日志,逐一排查。
4.服务器端口、系统进程安全检测
5.再一个查看进程,是否存在恶意进程,像木马后门都会植入到进程当中去。新手如果不懂如何查看进程,可以使用工具,微软的Process Explorer,还有剪刀手,最简单的就是通过任务管理器去查看当前的进程,像linux服务器需要top命令,以及ps命令查看是否存在恶意进程。一般如果被黑,可以从以下几大方面判断,CPU占用过高,有些进程没有正式的签名,进程的路径不合法,不是系统目录。
6.服务器启动项、计划任务安全检测:查看服务器的启动项,输入msconfig命令,看下是否有多余的启动项目,如果有检查该启动项是否是正常。再一个查看服务器的计划任务,通过控制面板,组策略查看。服务自启动,查看系统有没有自己主动启动一些进程。
7.服务器的后门木马查杀:下载杀毒工具,并更新病毒库,对服务器进行全面的安全检测与扫描,修复系统补丁,对网站的代码进行人工的安全检测,对网站漏洞的检测,网站木马后门的检测,也可以使用webshell查杀工具来进行查杀,最重要的是木马规则库。
8.网站日志,服务器日志一定要提前开启,开启审核策略,包括一些服务器系统的问题,安装的软件出错,管理员操作日志,登录服务器日志,以便方便后期出现服务器被黑事件,可以进行分析查找并溯源。网站的日志也要开启,IIS下开启日志记录,apache等环境请直接在配置文件中进行日志的开启与日志路径配置。以上就是服务器被黑,该如何的查找被黑的痕迹。
希望这些建议可以帮到大家。大家方便的时候也可以了解下云盾的防ddos产品及网络安全产品服务。