linux被攻击

Linux服务器查看

登录日志记录：/var/log/secure
登录成功的日期、用户名、IP：
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 
登录失败记录：/var/log/btmp 
lastb
最后一次登录：/var/log/lastlog 
lastlog
登录成功记录: /var/log/wtmp 
last
目前登录用户信息：/var/run/utmp //w、who、users

查看IP访问次数
netstat -nat|grep ":80"|awk '{print $5}' |awk -F: '{print $1}' | sort| uniq -c|sort -n

处理

1.top查看异常进程

2.ps -ef 查看进程位置   lsof  -p 进程号

3.查看crontab    /etc/init.d/     /etc/rc.local  /etc/crontab /etc/cron.d/root

4.杀掉进程、删除脚本