如何判断Linux服务器是否被入侵？

1、用户列表文件：/etc/passwd/
2、用户组列表文件：/etc/group
3、查看系统中有哪些用户：cut -d : -f 1 /etc/passwd
4、查看可以登录系统的用户：cat /etc/passwd | grep -v /sbin/nologin | cut -d : -f 1
5、查看用户操作：w命令(需要root权限)
6、查看某一用户：w 用户名
7、查看登录用户：who
8、查看用户登录历史记录：last
9、修改root用户密码：passwd
10、root用户修改其他用户密码：passwd <user_name>

被入侵的症状

网站的页面打开的很慢，或者电子邮件要花很长时间才能发送出去。

服务器资源被榨干, CPU 资源来进行数字货币的采矿或者发送垃圾邮件，也可能消耗带宽来发动 DoS 攻击。

那么你应该查看那些东西呢?

检查 0 -检查系统用户和密码文件。
检查用户cat /etc/passwd|grep -v nologin|grep -v halt|grep -v shutdown|awk -F":" '{ print $1"|"$3"|"$4 }'|more
检查passwd文件，ls –l /etc/passwd查看文件修改的日期。
检查一下passwd文件中有哪些特权用户&#x