如何进行入侵排查？
美国、香港服务器
如何进行入侵排查？
11-26 来源:
服务器入侵排查：从 “痕迹定位→深度溯源→风险确认” 的实操指南
入侵排查核心逻辑是 “先定范围（时间 / 账号 / IP）→ 查关键痕迹（登录 / 进程 / 文件 / 网络）→ 核漏洞与后门→ 确证影响（数据 / 权限）”，需结合系统日志、命令行工具与安全工具交叉验证，避免遗漏恶意残留。以下是兼容 Windows/Linux 的分步实操流程：
一、前置准备：明确排查范围与环境隔离
隔离风险环境：
若服务器仍在被攻击（如持续爆破、异常外联），先断网或限制公网访问（仅放行内网排查 IP），避免攻击者销毁痕迹或横向扩散；
禁止在被入侵服务器上执行未知脚本，避免触发恶意程序（如勒索病毒）。
收集基础信息：
记录排查时间窗口：从 “首次发现异常” 向前推 72 小时（重点查爆破发生时段）；
核心排查目标：登录异常、进程后门、文件篡改、网络外联、权限变更、数据泄露。
准备工具：
Windows：事件查看器、Process Explorer、Process Monitor、Autoruns、PeStudio、D 盾；
Linux：ps/top/last/grep/find、Auditd、ClamAV、Rootkit Hunter（rkhunter）；
通用：VirusTotal（样本 / IP/URL 验证）、Wireshark（流量抓包）。
二、第一步：登录与账号痕迹排查（判断入侵入口）
核心是确认 “攻击者是否登录成功”“是否新增恶意账号”，优先查登录日志与账号权限。
1. Windows 系统
登录日志分析：
打开事件查看器（Win+R→eventvwr）→ Windows 日志→ 安全；
筛选关键事件 ID：
4624：登录成功（重点看 “登录类型” 10=RDP、3 = 网络登录，及 “IpAddress” 是否为非信任 IP）；
4625：登录失败（记录攻击 IP、尝试的账号，判断爆破来源）；
4648：使用明确凭证登录（如批量尝试账号密码）；
4720/4722：新增用户 / 启用用户（排查陌生账号）。
导出日志：右键 “安全”→ 保存所有事件，便于后续分析。
账号权限核查：
计算机管理→本地用户和组→用户：删除陌生账号（如admin、test等弱名账号），锁定可疑账号；
本地用户和组→组：检查 “Administrators” 组是否有非授权成员；
命令行验证：net user（列出所有用户）、net localgroup administrators（查看管理员组）。
2. Linux 系统
登录日志分析：
bash
运行
# 查看成功登录记录（非信任IP则入侵确认）
grep "Accepted password" /var/log/secure
# 统计爆破次数与攻击IP
grep "Failed password" /var/log/secure | awk "{print $11}" | sort | uniq -c | sort -nr
# 查看近期登录用户（含IP、登录时间）
last
# 查看注销记录
lastlog
账号权限核查：
bash
运行
# 列出所有用户，排查陌生账号（排除root、bin、daemon等系统账号）
cat /etc/passwd | grep -v "nologin\|false"
# 查看sudo权限用户，是否有非授权账号
cat /etc/sudoers | grep -v "^#" | grep "ALL=(ALL)"
# 排查SSH密钥登录（未授权公钥）
cat /root/.ssh/authorized_keys
cat /home/*/.ssh/authorized_keys
三、第二步：进程与服务排查（定位运行中的恶意程序）
核心是找到 “异常进程 / 服务”“隐藏进程”“恶意启动项”，避免恶意程序持续窃取数据或控制服务器。
1. Windows 系统
进程排查：
任务管理器（Ctrl+Shift+Esc）→ 详细信息：勾选 “PID、映像路径名称、发布者、命令行”，按 CPU / 内存排序；
异常进程特征：随机字符串名称、路径在C:\Temp/C:\AppData/C:\Users\Public、无发布者 / 数字签名、命令行含wget/curl/powershell远程执行；
深度验证：用 Process Explorer 打开可疑进程→ 查看 “映像路径”“数字签名”“关联模块”（如加载陌生 DLL）、“父进程”（如cmd.exe衍生的未知进程）。
服务与启动项排查：
服务（services.msc）：筛选 “启动类型 = 自动”，排查陌生服务（如名称模仿Windows Update、无描述）；
启动项：任务管理器→启动应用，或 Autoruns 工具（全面查开机启动、计划任务、COM 组件）；
计划任务：任务计划程序（taskschd.msc）→ 任务计划程序库，删除陌生定时任务（如 “每天凌晨 2 点执行 xx.exe”）。
2. Linux 系统
进程排查：
bash
运行
# 查看所有进程（含隐藏进程，重点看COMMAND列）
ps aux | grep -v grep | egrep -v "bash|ssh|top|ps" # 排除正常进程
# 查看进程树，识别子进程关联（恶意进程可能衍生多个子进程）
pstree -p
# 查找异常路径进程（/tmp、/var/tmp、/root/.ssh等）
ps aux | grep -E "/tmp/|/var/tmp/|/root/\.ssh/|/dev/shm/"
# 检查隐藏进程（对比ps与系统进程列表）
ls /proc | grep -E "^[0-9]" | sort -n > /tmp/proc_list.txt
ps aux | awk "{print $2}" | sort -n > /tmp/ps_list.txt
diff /tmp/proc_list.txt /tmp/ps_list.txt # 差异项可能是隐藏进程
服务与启动项排查：
bash
运行
# 查看所有运行服务，排查陌生服务
systemctl list-unit-files --type=service | grep "enabled"
# 查看计划任务（当前用户+系统任务）
crontab -l
cat /etc/crontab
ls /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ # 排查定时脚本
# 检查开机启动脚本
cat /etc/rc.local
ls /etc/profile.d/ # 排查登录时执行的脚本
四、第三步：文件与注册表排查（查找篡改与后门）
核心是找到 “恶意文件”“被替换的系统文件”“注册表后门”，重点查敏感目录与系统关键位置。
1. Windows 系统
文件排查：
敏感目录检查：C:\Windows\System32、C:\Windows\SysWOW64、C:\ProgramData、C:\Users\Administrator\AppData，删除修改时间异常的陌生.exe/.dll/.bat 文件；
命令行查找近期修改文件：
cmd
# 查找C盘近7天新增/修改的.exe/.dll文件
dir C:\ /s /a /t:w | findstr /i ".exe\|.dll" | findstr "2025-11-22" # 替换为排查日期
系统文件完整性：用sfc /scannow检查系统文件是否被篡改，DISM /Online /Cleanup-Image /RestoreHealth修复。
注册表排查：
打开注册表编辑器（Win+R→regedit），重点检查以下路径（恶意后门常隐藏在此）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
删除陌生键值（如指向C:\Temp\xx.exe的键值）。
2. Linux 系统
文件排查：
bash
运行
# 查找近7天修改的系统命令（/bin、/sbin、/usr/bin），避免被替换
find /bin /sbin /usr/bin -mtime -7
# 查找/tmp、/var/tmp目录下的可执行文件（恶意程序常存于此）
find /tmp /var/tmp /dev/shm -type f -executable
# 检查敏感文件权限变更（如/etc/passwd、/etc/shadow）
ls -l /etc/passwd /etc/shadow /etc/sudoers
# 查找隐藏文件（名称以.开头的陌生文件）
find /root /home -name ".*" -type f | grep -v ".bashrc\|.bash_profile\|.ssh"
系统文件完整性：
bash
运行
# 安装rpm包验证工具（CentOS），检查系统文件是否被篡改
yum install -y rpm
rpm -Va | grep -E "^S|^M" # S=文件大小变更，M=文件权限变更
# Ubuntu用dpkg验证
dpkg -V | grep -E "^5|^U"
五、第四步：网络与端口排查（定位外联与监听）
核心是找到 “恶意外联 IP（C2 服务器）”“异常监听端口”“未授权网络连接”，确认攻击者是否持续通信。
1. Windows 系统
端口与连接排查：
命令行查看端口占用：
cmd
# 查看所有TCP/UDP连接（PID对应进程）
netstat -ano | findstr "LISTENING\|ESTABLISHED"
# 查找异常端口（如3389、22、445外的高危端口）
netstat -ano | findstr ":8080\|:9000\|:3333" # 示例端口，可替换
结合 PID 找进程：任务管理器→详细信息，通过 PID 定位占用异常端口的进程；
流量抓包：用 Wireshark 捕获服务器 outbound 流量，筛选 “目标 IP 非业务 IP” 的连接，导出流量包分析。
2. Linux 系统
端口与连接排查：
bash
运行
# 查看所有监听端口与对应进程
netstat -tulnp | grep -E "LISTEN|ESTABLISHED"
# 或用ss命令（更高效）
ss -tulnp | grep -E "LISTEN|ESTABLISHED"
# 查找异常外联（排除业务IP）
netstat -anp | grep "ESTABLISHED" | grep -v "192.168.\|10.\|172." # 排除内网IP
# 查看进程对应的网络连接
lsof -p 进程PID # 替换为可疑进程PID
流量分析：
bash
运行
# 安装tcpdump抓包（捕获1小时外联流量）
tcpdump -i any host not 内网网段 -w /tmp/traffic.pcap -G 3600
# 后续用Wireshark分析pcap文件，筛选可疑IP/端口
六、第五步：漏洞与权限变更排查（确认入侵途径）
核心是找到 “攻击者利用的漏洞”“权限提升痕迹”，避免后续再次被入侵。
1. 漏洞排查
查看系统补丁安装记录：
Windows：控制面板→程序和功能→已安装更新，或wmic qfe list；
Linux：yum list installed | grep "kernel"（CentOS）、dpkg --list | grep "linux-image"（Ubuntu）；
重点排查高危漏洞：如永恒之蓝（MS17-010）、SSH 弱密码、Web 服务漏洞（如 Tomcat 后台弱密码、SQL 注入）；
用漏洞扫描工具（Nessus、OpenVAS）对服务器做全端口漏洞扫描，确认未修复的高危漏洞。
2. 权限变更排查
Windows：事件查看器→安全，筛选事件 ID 4672（管理员登录）、4673（特权使用）、4688（进程创建，含高权限进程）；
Linux：查看/var/log/secure中 “sudo” 相关日志，是否有非授权用户执行sudo命令：
bash
运行
grep "sudo" /var/log/secure | grep -v "root"
七、第六步：数据与业务影响排查（确认损失范围）
核心是判断 “数据是否被篡改 / 窃取 / 加密”，避免业务损失扩大。
数据完整性核查：
检查网站根目录、数据库文件、配置文件是否被篡改（如首页挂黑链、配置文件新增后门账号）；
查看数据库操作日志（如 MySQL 的general_log），是否有批量导出、删除数据的操作；
敏感数据泄露排查：
查找服务器上是否有*.txt/*.csv格式的敏感数据备份文件（如user_info.txt）；
检查 FTP/SCP 日志（/var/log/xferlog），是否有非授权文件传输；
勒索病毒确认：
若文件后缀被修改（如.locky、.wannacry）、出现勒索弹窗，立即断网，留存加密文件样本与勒索信，联系安全厂商解密。
八、排查结果确认与处置建议
1. 结果判定
未入侵：仅存在登录失败日志，无新增账号、异常进程、恶意文件，加固登录权限即可；
疑似入侵：存在非信任 IP 登录记录，但未发现后门 / 数据篡改，需进一步清理并监控；
确认入侵：发现恶意进程、后门文件、数据篡改 / 加密，需立即断网，按应急响应流程处置。
2. 处置建议
轻度入侵（仅账号尝试，无后门）：封禁攻击 IP→ 重置所有账号密码→ 开启登录失败锁定→ 安装补丁；
中度入侵（有登录记录，无数据损失）：断网→ 清理恶意进程 / 文件 / 启动项→ 重装系统（可选）→ 加固安全配置→ 恢复服务；
重度入侵（有后门 + 数据篡改 / 加密）：断网→ 留存证据（日志、恶意样本、流量包）→ 重装系统→ 从干净备份恢复数据→ 全面加固→ 安全测试后恢复服务。
九、关键避坑要点
切勿在被入侵服务器上直接删除系统文件，避免误删核心组件导致系统崩溃；
留存所有排查证据（日志、进程截图、恶意文件、流量包），便于后续溯源与责任认定；
若不确定是否为恶意进程 / 文件，先上传 VirusTotal 扫描，或用沙箱（AnyRun）分析，再做处置；
排查完成后，务必开启实时监控（如 Zabbix、云监控），设置登录失败、异常外联告警，避免二次入侵。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
