文档中心 / 资讯列表 / 服务器被入侵了怎么办?如何处理?
服务器被入侵了怎么办?如何处理?

1203

2023-03-27 00:04:01

如果服务器被入侵肯定会留下痕迹,那么我们首先应该检查下发生异常的时间、发生异常的现象是什么?根据相应的情况来检查下具体事件。


具体内容如下:


如果服务器被入侵肯定会留下痕迹,那么我们首先应该检查下发生异常的时间、发生异常的现象是什么?根据相应的情况来检查下具体事件。

1.检查系统账号安全

1.1查看服务器是否有弱口令,远程管理端口是否对公网开放。

1.2查看服务器是否存在可疑账号、新增账号。

打开 cmd 窗口,输入lusrmgr.msc命令,查看是否有新增/可疑的账号。

1.3 查看服务器是否存在隐藏账号、克隆账号

cmd中输入:net user 看看有没有陌生用户

cmd中输入:regedit 找到注册表分支

“HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/Names/”看看有没有克隆用户

2.检查网络

cmd命令行中输入 netstat -ano 查看目前的网络连接,定位可疑的pid。根据定位出的pid,再通过tasklist命令进行进程定位 tasklist | findstr “PID”发现的感觉异常的 IP 地址可以在威胁情报平台上查询,如果是已知的恶意 IP,可以比较快速的确认攻击方式。

3.检查日志、启动项、计划任务

3.1结合日志,查看管理员登录时间、用户名是否存在异常。

首先Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。系统日志包含Windows系统组件记录的事件。应用程序日志包含由应用程序或程序记录的事件。安全日志包含诸如有效和无效的登录尝试等事件,以及与资源使用相关的事件,如创建、打开或删除文件或其他对象。

常用事件 ID 以及他代表的事件含义如下:

登录类型ID

查看远程登陆事件

远程连接日志(应用程序和服务日志

->Microsoft->Windows->-TerminalServices->RemoteConnectionManager->Operational)

3.2查看启动项

1)按下win+r键打开运行,输入 shell:startup 打开开机启动项文件夹,检查是否有可疑自启动文件。

2)按下win+r键打开运行,输入msconfig 查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。

3)按下win+r键打开运行,输入regedit 打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:

HKEY_CURRENT_USERsoftwaremicorsoftwindowscurrentversion un

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunonce

3.3查看计划任务

按下win+r键打开运行,输入taskschd.msc 打开任务计划,查看有没有可疑的计划任务。

  • 在线咨询
  • 电话咨询
  • 申请试用
icon
技术支持&售后
商务合作&售前
icon