记一次linux服务器被攻击的处理经历

首先发现IO、流量异常。查找登录记录，果不其然last命令没有结果，/var/log/wtmp文件被删除。

查找/var/log/secure文件中的登录记录：grep "Accept" /var/log/secure

查dstat的日志文件，正是10：51分开始出现IO异常。

用nethogs 、 iftop工具可以查看到本机与几个不知哪的ip端口建立了很多连接。

初步处理是打开防火墙，仅打开需要用到的input / output端口，这样可以有效限制木马程序向外传输数据，流量马上下来了。但木马程序还是存在机器中的，如何处理呢。

top命令查看异常进程， 进程名是随机的字母；当然直接kill -9 是杀不掉的，否则人家也不叫木马；