linux 检查并锁定可疑用户，然后T下线

在发现服务器被遭受攻击后，首先切断网络连接，但是如果是外网服务器，无法马上切断，必须登录系统查看是否有可疑用户

1.登录系统查看可疑用户

通过root登录，执行w命令，即可列出所有登录过系统的用户

[root@erp ~]# w
 09:32:57 up 17 days, 18:19,  1 user,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0    59.40.117.206    09:27    0.00s  0.00s  0.00s w

2锁定可疑用户：

passwd -l nobody

解锁：

passwd -u nobody

然后踢下线：

[root@erp ~]# ps -ef | grep @pts/0
root     30890  2168  0 09:27 ?        00:00:00 sshd: root@pts/0 
root     31274 30892  0 09:36 pts/0    00:00:00 grep @pts/0

kill -9 30890

就可以T下线了

3

 通过last文件查看所有用户登录系统的日志

last的结果输出来源于/var/log/wtmp文件

[root@erp ~]# last
root     pts/0        59.40.117.206    Mon Oct 26 09:27   still logged in   
root     pts/0        59.40.117.206    Mon Oct 26 09:24 - 09:27  (00:03)    
root     pts/0        59.40.116.207    Sat Oct 24 09:42 - 18:20  (08:37)    
root     pts/0        61.141.137.236   Fri Oct 23 10:13 - 12:43  (02:29)    
root     pts/0        61.141.137.236   Thu Oct 22 14:49 - 18:30  (03:40)    
root     pts/2        104.236.171.187  Thu Oct 22 10:12 - 12:39  (02:26)    

4 

查看其它系统日志文件：

可查看的系统日志有： 

/var/log/messages     

/var/log/serure