怎么检查服务器有没有被入侵

　　目前越来越多的服务器被入侵，以及攻击事件频频的发生，像数据被窃取，数据库被篡改，用户数据被脱裤，网站被强制跳转到恶意网站上，网站在百度的快照被劫持，等等的攻击症状层出不穷，那么我们应该怎么检查服务器有没有被入侵呢?

怎么检查服务器有没有被入侵

　　一、文件排查

　　1)开机启动有无异常文件

　　【文件】→【运行】→【msconfig】

　　Windows服务器入侵检测排查方法

　　2)各个盘下的temp(tmp)相关目录下查看有无异常文件：Windows产生的临时文件：

　　Windows服务器入侵检测排查方法

　　3)Recnt是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件：

　　【开始】→【运行】→【%UserProfile%、Recent】

　　4)根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及文件：

　　Windows Server 2008 R2

　　Windows服务器入侵检测排查方法

　　Windows 10

　　Windows服务器入侵检测排查方法

　　5)查看文件时间，创建时间、修改时间、访问时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件

　　Windows服务器入侵检测排查方法

　　二、端口、进程排查

　　1)netstat -ano //查看目前的网络连接，定位可疑的ESTABLISHED

　　netstat //显示网络连接、路由表和网络接口信息;

　　参数说明：

　　Windows服务器入侵检测排查方法

　　常见的状态说明：

　　LISTENING //倾听状态

　　ESTABLISHED //建立连接

　　CLOSE_WAIT //对方主动关闭连接或网络异常异常连接中断

　　2)根据netstat定位出的pid，再通过tasklist命令进行进程定位

　　tasklist //显示运行在本地或远程计算机上的所有进程;

　　Windows服务器入侵检测排查方法

　　3)根据wmic process获取进程的全路径(注：任务管理器也可以定位到进程路径)

　　Windows服务器入侵检测排查方法

　　Windows服务器入侵检测排查方法

　　小技巧：

　　①查看端口对应的PID： netstat -ano | findstr "port"

　　②查看进程对应的PID：任务管理器--查看--选择列--PID 或者 tasklist | findstr "PID"

　　③查看进程对应的程序位置：

　　任务管理器--选择对应进程--右键打开文件位置

　　运行输入 wmic，cmd界面 输入 process d、tasklist /svc 进程--PID--服务

　　④查看Windows服务所对应的端口：

　　%system%/system32/drivers/etc/services(一般%system%就是C:\Windows)

　　三、系统信息排查

　　1)查看环境变量的设置

　　【我的电脑】→【属性】→【高级系统设置】→【高级】→【环境变量】

　　Windows服务器入侵检测排查方法

　　排查内容：temp变量的所在位置的内容;后缀映射PATHEXT是否包含有非windows的后缀;有没有增加其他的路径到PATH变量中(对用户变量和系统变量都要进行排查)。

　　2)Windows计划任务

　　【程序】→【附件】→【系统工具】→【任务计划程序】

　　Windows服务器入侵检测排查方法

　　3)Windows账户信息，如隐藏账号、克隆账号等

　　【开始】→【运行】→【compmgmt.msc】→【本地用户和组】→【用户】(用户以$结尾的为隐藏用户，如：admin$)

　　a)打开注册表 ，查看管理员对应键值。

　　b)使用D盾_web查杀工具，集成了对克隆账号检测的功能。

　　Windows服务器入侵检测排查方法

　　Windows服务器入侵检测排查方法

　　命令行方式：net user，可直接收集用户信息(此方法看不到隐藏用户)，若需查看某个用户的详细信息，可使用命令net user username：

　　Windows服务器入侵检测排查方法

　　4)查看服务器是否存在可疑账号、新增账号

　　打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的(Administrators)里的新增账户，如有，请立即禁用或删除掉。

　　5)查看当前系统用户的会话

　　使用query user查看当前系统的会话，比如查看是否有人使用远程终端登录服务器：

　　Windows服务器入侵检测排查方法

　　logoff //踢出该用户

　　Windows服务器入侵检测排查方法

　　6)查看systeminfo信息，系统版本以及补丁信息

　　Windows服务器入侵检测排查方法

　　例如系统的远程命令执行漏洞 MS17-010(永恒之蓝)、MS08-067、MS09-001等。若进行漏洞比对，建议自建使用 Windows-Privilege-Escalation-Exploit：

　　Windows服务器入侵检测排查方法

　　Github 源码：https://github.com/neargle/win-powerup-exp-index

　　7)结合日志，查看管理员登录时间、用户名是否存在异常

　　a)Win+R打开运行，输入"eventvwr.msc"，回车运行，打开"事件查看器"。

　　b)导出Windows日志--安全，利用Log Parser进行分析。

　　Windows服务器入侵检测排查方法

　　四、工具排查

　　1)PC Hunter

　　PC Hunter是一个Windows系统信息查看软件

　　下载地址：

　　Windows服务器入侵检测排查方法

　　功能列表如下：

　　Windows服务器入侵检测排查方法

　　Windows服务器入侵检测排查方法

　　PC Hunter 数字签名颜色说明：

　　黑色：微软签名的驱动程序;

　　蓝色：非微软签名的驱动程序;

　　红色：驱动检测到的可疑对象，隐藏服务、进程、被挂钩函数;

　　注：最简单的使用方法，根据颜色去辨识➜可疑进程，隐藏服务、被挂钩函数：红色，然后根据程序右键功能去定位具体的程序和移除功能。根据可疑的进程名等进行互联网信息检索然后统一清除并关联注册表。

　　2)ProcessExplorer

　　Windows系统和应用程序监视工具：

　　Windows服务器入侵检测排查方法

　　3)Microsoft Network Monitor

　　一款轻量级网络协议数据分析工具：

　　Windows服务器入侵检测排查方法

　　五、日志排查

　　1)Windows登陆日志排查

　　①打开事件管理器

　　【开始】→【管理工具】→【事件查看】

　　【开始】→【运行】→【eventvwr】

　　Windows服务器入侵检测排查方法

　　②主要分析安全日志，可以借助自带的筛选功能

　　Windows服务器入侵检测排查方法

　　Windows服务器入侵检测排查方法

　　Windows服务器入侵检测排查方法

　　可以把日志导出为文本格式，然后使用 notepad++ 打开，使用正则模式去匹配远程登录过的IP地址，在界定事件日期范围的基础。

　　正则：

　　((?:(?:25[0-5]|2[0-4]\d|((1\d{2})|([1-9]?\d))).){3}(?:25[0-5]|2[0-4]\d|((1\d{2})|([1-9]?\d))))

　　Windows服务器入侵检测排查方法

　　这样就可以把界定事件日期事件快速检索出来进行下一步分析。

　　③WEB访问日志

　　a)找到中间件的web日志，打包到本地方便进行分析;

　　b)推荐工具：Window下，推荐用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。

　　webshell查杀工具有以下几种：

　　服务器安全狗：http://free.safedog.cn/server_safedog.html

　　关于怎么检查服务器有没有被入侵就为大家介绍到这里，以上就是我们日常处理客户服务器总结的一套自有的方法去排查，找问题，溯源追踪，彻底的防止服务器继续被黑，将损失降到最低。每个客户的服务器安装的环境不一样，以及代码如何编写的，根据实际情况来排查解决问题。如果您的服务器遭受入侵又没办法解决，那么可以向安全狗寻求技术支持，我们会安排专业的技术团队为您解决。