服务器被入侵检查步骤

1.查看/etc/passwd和/etc/shadow文件是否有可疑账号
2.查找服务器登录日志记录
核心启动日志:/var/log/dmesg
系统报错日志:/var/log/messages
邮件系统日志:/var/log/maillog
FTP系统日志:/var/log/xferlog
安全信息和系统登录与网络连接的信息:/var/log/secure

登录记录:/var/log/wtmp

News日志:/var/log/spooler
RPM软件包:/var/log/rpmpkgs
XFree86日志:/var/log/XFree86.0.log

引导日志:/var/log/boot.log 记录开机启动讯息，dmesg | more

cron(定制任务日志)日志:/var/log/cron

文件/var/run/utmp 记录现在登录的用户

文件 /var/log/wtmp 记录所有的登录和登出，who /var/log/wtmp

文件 /var/log/lastlog 记录每个用户最后的登入信息

文件 /var/log/btmp 记录错误的登入尝试

1.使用top命令查看是否有可疑进程
2.使用命令netstat –an | more查看是否开启可疑端口和连接外部可疑ip
3.使用命令find / -mtime -10 –type –f查看十天之内根目录下被修过的文件

原文：https://blog.csdn.net/rulerer/article/details/81566152