如何判断自己的电脑或者服务器是否被入侵，简单判断及处置流程。

已于 2025-05-12 16:21:50 修改
阅读量614 收藏 6
点赞数 16
文章标签： 服务器 运维
于 2025-05-12 11:35:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_73740769/article/details/147891360
版权

一、windows

首先感觉自己电脑摄像头如果总是莫名其妙的亮，或者说明显卡顿，可以去排查进程
win+R打开cmd
在这里插入图片描述
然后输入命令

netstat -ano   //查看当前运行的进程及外连地址

在这里插入图片描述
可以清楚的看到我们本地的哪个端口连接了外部的哪个端口，如果有显示LISTENING表示这个端口是开启的，然后本地计算机在监听这个端口，还没有外部连接,外部地址是127.0.0.1的话表示值允许本地IP进行访问。

下面是正常建立连接的示例
在这里插入图片描述
可以看到状态时 ESTABLISHED 表示连接已经建立，并且有详细的本地哪个端口连接的外部地址的哪个端口（简单点理解，就像USB接口一样，我49261号的口连接着它的6377号口），在附加一些常用端口判断

例如：
22端口表示SSH连接，我本地有有i个49818和一个远程22端口进行了SSH连接。
443端口时https连接，表示我打开了一个带有https的网站（例如：https://www.baidu.com）对应的IP一般为CDN的IP。
80端口代表http连接，没有启用SSL证书。

由此，加上我们平时对端口的理解，可以判断出6377是异常端口（平时我们正常工作时不会用到的）
所以我们可以把这个ip进行威胁情报扫描。

这边我用奇安信威胁情报平台进行分析。

直接输入IP或者域名点击搜索就可以了（但是需要先注册登陆。）
在这里插入

这里我拿一个有问题的IP给大家做演示
在这里插入图片描述
可以看到有清楚的攻击记录，然后我们可以点击查看，可以看到详细的信息（这里不做过多展示（没广告费QAQ））

这个是简单的判断有没有被远程控制，当然，如果你被远控之后，对方肯定会做持久化。
这边就简单说下定时任务，（其他的太多了，还有linux篇没写）

还是一样，打开CMD，输入命令。

schtasks /query /fo LIST /v   //查看所有任务，包括没启用的

在这里插入图片描述
就可以看到，当前所有的任务，接下来就是根据运行的程序进行初步判断，看这个程序是否有签名什么的，然后判断是否存在白加黑运行的可能（dll劫持什么的，这个可能有点深，一般就先判断是不是正常的应用）。

也可以通过启动时间进行判断，比如APT组织使用的木马通常会在U盘插入时启动、或者开关机自启动。

当然，这些只是简单判断（可能有人会说，不如拿3某0、某绒扫描一下,这些的前提是对面基本免杀都做不到情况下才能可能，一般都会做免杀，静态绕过还是很简单的，要注意的是看自己杀毒软件有没有莫名奇妙的闪退掉。）

windows看到异常进程可以打开任务管理器，找到相应的进程，先右键打开程序所在文件夹，在结束进程，最后再删除文件。在这里插入图片描述

windows简单判断基本到这里，下面开始linux的。

二、linux
linux对于不怎么熟悉的，第一个就是隐藏文件

在Linux中，. 开头的文件一般会被默认为隐藏文件，使用ls需要加参数才会显示。
比如
正常ls
在这里插入图片描述
加参数 -lah
在这里插入图片描述

ls -lah   //l 长格式显示  a 显示所有文件 h显示文件大小

这是最常规的，然后还有就是.ssh文件，公钥后门
这里面存储了连接你当前linux的公私钥，如果攻击者把他的ssh公钥写进来，就可以实现无密码登陆
在这里插入图片描述
可以检查里面的公钥文件是否能和自己的私钥对应，或者查看最后修改日期（最后修改日期可以通过 touch -t 进行修改，所有最后修改日期不一定靠谱。）

还有su后门，可以通过查看变量是否存在，简单判断。

env | grep LD_PRELOAD   //如果返回类似 LD_PRELOAD=/tmp/evil.so，说明可能被劫持。

正常应该没有回显
在这里插入图片描述

查看操作命令历史记录
在这里插入图片描述
这个文件在每个用户下面都有，默认名字 .bash_history

直接使用cat 进行查看就可以了，或者下载到本地使用其他工具查看更加方便。

lsof -i   //linux查看进程

在这里插入图片描述
也是一样的，查看外连的IP是否正常。然后查看外连的IP情况是否被威胁情报收录（误差不是特别大，有可能是干净的IP，实际情况实际分析）

方法有很多，这边简单讲这几个，如果图方便，可以使用专用工具进行检查。

比如：lynis工具

lynis audit system  //检查所有模块（内核、文件权限、用户账户、服务等）。
lynis audit system  > a.txt //结果输出到a.txt

安装

apt install lynis //ubuntu和kali一般使用apt包管理工具 
yum install lynis //centos 使用yum包管理工具
基于深度学习的入侵检测系统设计与实现
AI天才研究院
05-18 2079
随着互联网的快速发展，网络安全问题日益突出。网络攻击手段不断翻新，攻击目标也从传统的服务器、网络设备扩展到个人电脑、移动设备等。传统的入侵检测系统（Intrusion Detection System，IDS）基于规则匹配和统计分析，难以应对复杂多变的网络攻击，特别是新型的未知攻击。研究人员将继续探索更高效、更准确的深度学习模型，提高入侵检测系统的性能。数据增强技术可以扩充训练数据集，提高模型的泛化能力。对抗学习可以提高模型的鲁棒性，使其能够抵抗对抗样本攻击。
[网络安全自学篇] 四十八.Cracer第八期——(1)安全术语、Web渗透流程、Windows基础、注册表及黑客常用DOS命令
热门推荐
杨秀璋的专栏
02-21 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了微软证书漏洞（CVE-2020-0601），并详细讲解了Windows验证机制、可执行文件签名复现及HTTPS劫持。本文将分享另一个主题——Cracer教程，第一篇文章将详细讲解安全术语、Web渗透流程和Windows基础、注册表及黑客常用DOS命令。基础性文章，希望对您有所帮助。
Linux服务器被入侵之后的处理方法
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
09-13 2018
安全事件处理流程 如上图，将服务器安全应急响应流程分为如下 8 个环节： 发现安全事件（核实）—现场保护–服务器保护—影响范围评估—在线分析—数据备份—深入分析----事件报告整理 各阶段说明 核实信息（运维/安全人员） 根据安全事件通知源的不同，分为两种： 外界通知：和报告人核实信息，确认服务器/系统是否被入侵。现在很多企业有自己的 SRC（安全响应中心），在此之前更多的是依赖某云。这种情况入侵的核实一般是安全工程师完成。 自行发现：根据服务器的异常或故障判断，比如对外发送大规模流量或者系统负载异常高等
服务器被黑客入侵了怎么办？
PAINzw的博客
12-25 2143
服务器被黑客入侵了怎么办？ 遇到服务器被黑，很多人会采用拔网线、封 iptables 或者关掉所有服务的方式应急，但如果是线上服务器就不能立即采用任何影响业务的手段了，需要根据服务器业务情况分类处理。 下面我们看一个标准的服务器安全应急影响应该怎么做，也算是笔者从事安全事件应急近 6 年以来的一些经验之谈，借此抛砖引玉，希望大神们不吝赐教~ 如上图，将服务器安全应急响应流程分为如下8 个环节： ·发现安全事件（核实） ·现场保护 ·服务器保护 ·影响范围评估...
服务器被入侵了怎么办？
高效运维
02-02 5314
遇到服务器被黑，很多人会采用拔网线、封 iptables 或者关掉所有服务的方式应急，但如果是线上服务器就不能立即采用任何影响业务的手段了，需要根据服务器业务情况分类处理。下面我们看一个标准的服务器安全应急影响应该怎么做，也算是笔者从事安全事件应急近 6 年以来的一些经验之谈，借此抛砖引玉，希望大神们不吝赐教。图 1：处理思路如上图，将服务器安全应急响应流程分为如下 8 个环节：发现安全事件（核实
电脑常见的故障问题如何判断？零基础入门到精通，收藏这篇就够了
A1_3_9_7的博客
01-17 582
一、显卡的故障故障现象：电脑使用过程中，显示器突然不显示了，有时候甚至产生花屏的现象，那么很大可能就是显卡的问题了。解决办法是：同样是将显卡取出来，然后用橡皮擦擦拭金手指的部位，然后将显卡上的灰尘清理干净，然后再装回显卡，开机后就基本上就能解决了。二、内存的故障一般故障现象：打开电脑的时候时不时地重启，或者电脑发出滴滴的蜂鸣声音，或者是显示系统运行不正常报错的的现象，一般都是内存出现了问题。
[ 应急响应 ]服务器(电脑)受到攻击该如何处理?(一)
qq_51577576的博客
11-27 8694
应急响应是 安全岗位 的必问知识点
入侵检测系统建设及常见入侵手法应对
网络安全领域优质创作者
04-06 3983
​提示：正文共6400字，预计阅读需要17分钟 入侵检测 入侵检测是帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测是系统保护的最后一道安全闸门，在不影响网络和主机性能的情况下进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。 入侵行为的影响程度取决于对信息安全CIA三元组的破坏程度、商业压力及监管压力
服务器遭遇挖矿怎么办？
2401_84466316的博客
06-03 2034
我们先来了解下虚拟货币，以比特币为例，比特币是一种由开源的P2P软件产生的网络虚拟货币，它不依靠特定货币机构发行，通过特定算法的大量计算产生，比特币经济使用整个P2P网络中众多节点构成的分布式数据库来确认并记录所有的交易行为。矿工需要为比特币网络提供的算法来换取比特币，每一个比特币的节点都会收集所有尚未确认的交易，并将其归集到一个数据块中，矿工节点会附加一个随机调整数，并计算前一个数据块的SHA-256散列运算值。
什么是云服务器（适合自己的云才是好云）全网独一份！
m0_65033889的博客
11-21 2163
‌是一种基于云计算技术的虚拟服务器，通过虚拟化技术将物理服务器的硬件资源（如CPU、内存、存储等）整合为资源池，并根据用户需求进行动态分配。用户无需提前购买硬件，即可迅速创建或释放任意多台云服务器，实现快速部署和弹性伸缩‌。云的特点顺应用户使用的需求，注定是一路畅通的！简单的来说，云服务器就是一台电脑，通过网络进行链接，从而能够在本地操控和使用这台电脑，服务商只负责保证这台电脑的基本运行和网络资源的正常使用！
服务器安全检测和防御技术
坏坏-5的博客
07-07 2042
关于SCSA中服务器安全检测和防御技术的介绍！
服务器故障处理预案.doc
06-29
#### 二、服务器故障响应处理流程 1. **故障发现与报告**：一旦发现故障，应立即向信息中心报告，并记录故障发生的时间、地点、症状等信息。 2. **初步分析与诊断**：信息中心依据故障的症状，参照《服务器故障...
应急响应流程以及入侵排查
renyizou的博客
01-14 6126
归纳转载于： 应急响应的整体思路和基本流程 - FreeBuf网络安全行业门户不管是普通的企业，还是专业的安全厂商，都不可避免的需要掌握和运用好信息安全的知识、技能，以便在需要的时候，能够御敌千里。https://www.freebuf.com/articles/endpoint/192859.html 应急响应之windows入侵排查篇 - FreeBuf网络安全行业门户本文主要讨论windows被入侵后的排查思路。https://www.freebuf.com/articles/network/28
排查服务器内存空间预警思路
weixin_46228563的博客
05-12 172
这是导致根分区空间不足的根本原因。MySQL 数据文件过大需要针对性处理。如果存在 /var/lib/mysql，可能是数据库文件过大。从您的排查结果可以明确看出，/var/lib/mysql。
python标准库--itertools - 迭代器工具在算法比赛的应用
2402_84466011的博客
05-12 569
格雷码（Gray Code）是一种二进制编码方式，其特点是相邻的两个码字之间只有一位不同。格雷码是二进制数字系统，相邻两个数值仅有一位不同。生成前缀和数组，将子数组和查询优化到。直接生成格雷码，其中。右移一位的异或结果。
AI服务器通常会运用在哪些场景当中？
wanhengidc的博客
05-09 762
人工智能行业作为现代科技的杰出代表，在多个领域当中发展其强大的应用能力和价值，随之，AI服务器也在各个行业中日益显现出来，为各个行业提供了强大的计算能力和处理能力，帮助企业处理复杂的大规模数据，本文将来探索一下AI服务器通常都会运用在哪些场景当中吧！同时还可以预测金融市场的整体趋势和风险管理，在大规模数据分析方面起着非常重要的作用。AI服务器可以运用在医疗教育当中，用于医学图像分析和基因组学研究等场景中，能够帮助其加速医学研究的速度，并且可以提高医学诊断的准确性，对国家医学领域发展做出一定的贡献。
使用 systemd 管理 Linux 服务：配置与自动重启指南
qq128252的博客
05-09 446
systemd 是现代 Linux 系统中常用的服务管理器，能够可靠地管理进程并在进程崩溃时自动重启。要创建 systemd 服务文件，需在 /etc/systemd/system/ 目录下创建一个 .service 文件，定义服务的描述、依赖关系、运行用户、工作目录、启动命令、重启策略及日志输出路径等。文件内容应避免包含注释，否则可能导致错误。创建文件后，使用 systemctl daemon-reload 重新加载配置，并通过 systemctl enable 和 systemctl start 启用和
服务器带宽基础知识
最新发布
link458的博客
05-12 651
服务器带宽是衡量服务器与互联网之间数据传输能力的关键指标，通常以Mbps或Gbps为单位。带宽分为上行带宽和下行带宽，其中上行带宽对服务器性能起决定性作用。带宽类型包括独享带宽和共享带宽，分别适用于高并发业务和低流量应用。带宽需求受业务类型、并发用户数、数据量等因素影响，需通过公式计算并结合冗余系数进行优化。优化带宽性能的策略包括使用CDN加速、数据压缩、缓存技术、负载均衡和协议优化。典型场景的带宽配置建议因业务需求而异，如企业官网需5-10M，电商平台需50-100M，视频直播需100M-1G，云计算集群
如何为APP应用程序选择合适的服务器
gulu230220的博客
05-08 401
选择合适的服务器是APP成功的基础。没有"最好"的服务器，只有"最适合"的解决方案。建议根据您的具体需求、技术能力和预算，选择灵活可扩展的方案。搭建一个成功的APP应用程序，服务器选择是至关重要的决策之一。合适的服务器不仅能确保应用流畅运行，还能节省成本并保障安全性。推荐：云服务的弹性计算(如AWS EC2、Google Compute Engine)推荐：云服务商的基础套餐(AWS LightSail、阿里云入门套餐)欢迎在评论区分享您的经验！用户规模预估：预计的日活跃用户(DAU)和并发用户数。
react hooks 详解
07-17
React Hooks 是 React 16.8 中新增的特性，它可以让你在函数组件中使用 state、生命周期钩子等 React 特性。使用 Hooks 可以让你写出更简洁、可复用且易于测试的代码。 React Hooks 提供了一系列的 Hook 函数，包括 useState、useEffect、useContext、useReducer、useCallback、useMemo、useRef、useImperativeHandle、useLayoutEffect 和 useDebugValue。每个 Hook 都有特定的用途，可以帮助你处理不同的问题。 下面是 React Hooks 的一些常用 Hook 函数： 1. useState useState 是最常用的 Hook 之一，它可以让你在函数组件中使用 state。useState 接受一个初始状态值，并返回一个数组，数组的第一个值是当前 state 值，第二个值是更新 state 值的函数。 ``` const [count, setCount] = useState(0); ``` 2. useEffect useEffect 可以让你在组件渲染后执行一些副作用操作，比如订阅事件、异步请求数据等。useEffect 接受两个参数，第一个参数是一个回调函数，第二个参数是一个数组，用于控制 useEffect 的执行时机。 ``` useEffect(() => { // 这里可以执行副作用操作 }, [dependencies]); ``` 3. useContext useContext 可以让你在组件树中获取 context 的值。它接受一个 context 对象，并返回该 context 的当前值。 ``` const value = useContext(MyContext); ``` 4. useRef useRef 可以让你在组件之间共享一个可变的引用。它返回一个对象，该对象的 current 属性可以存储任何值，并在组件的生命周期中保持不变。 ``` const ref = useRef(initialValue); ref.current = value; ``` 5. useCallback useCallback 可以让你缓存一个函数，以避免在每次渲染时都创建一个新的函数实例。它接受一个回调函数和一个依赖数组，并返回一个 memoized 的回调函数。 ``` const memoizedCallback = useCallback(() => { // 这里是回调函数的逻辑 }, [dependencies]); ``` 6. useMemo useMemo 可以让你缓存一个计算结果，以避免在每次渲染时都重新计算。它接受一个计算函数和一个依赖数组，并返回一个 memoized 的计算结果。 ``` const memoizedValue = useMemo(() => computeExpensiveValue(a, b), [a, b]); ``` 以上就是 React Hooks 的一些常用 Hook 函数，它们可以帮助你更好地处理组件状态、副作用、上下文和性能优化等问题。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值