如何排查自己的服务器是否受到了入侵

1.入侵者可能会删除机器的日志信息，我们可以查看日志信息还存在进行排查:

命令:ll -h /var/log/*

du -sh /var/log/*

2.入侵也会新建一个存放用户名和密码文件，可以查看/etc/passed及/etc/shadow文件：

命令:ll /etc/pass*

ll /etc/sha*

3.还可能修改了用户名和密码的文件，可以查看/etc/passwd及/etc/shadow文件内容来进行甄别：

命令:more /etc/passwd

more /etc/shadow

4.查看机器最近登录成功的事件和最后一次登录不成功的登录事件：（对应日志/var/log/lastlog）

命令:lastlog

5.查看当前登录的全部用户:（对应日志文件/var/run/utmp）

命令:who

6.登录过的用户：（对应的日志文件/var/log/wtmp）

命令:last

7.机器连接时间：（对应的日志文件/var/log/wtmp）

命令:ac -dp

8.查看/var/log/secure日志文件，尝试发现入侵者的信息:

命令:cat /var/log/secure | grep -i "accepted password"

9.异常进程树

先通过top命令查看异常进程对应的PID

命令:top

然后通过虚拟文件系统目录来查找该进程的可执行文件:

命令: ll /proc/PID/ | grep -i exe

再通过查看文件命令去查看该可疑文件:

命令:ll