服务器被可疑ip攻击

Ⅰ 您的IP( 120.198.231.16 )最近有可疑的攻击行为，请稍后重试

就目前来说㎏⒛㏄挺好
对这个回答满意权的话，求个采纳
点击普通下载就可以了
喜欢我的推荐请采纳多多点赞!
如果帮到你，请采纳~
谢谢个人收藏的 点击普通下载就可以了

Ⅱ 如何防止服务器被恶意网络攻击

1.在各个地区部署代理ip的节点，使访问者能够迅速连接到附近的节点，使访问者能够更快地访问网站，CDN缓存能够进一步提高网站的访问速度，减轻对网站服务器的压力，提高网站服务器的稳定性。
2.代理ip的防御机制并非一种固定的防御策略。针对各种攻击类型，可以更好的阻断清理攻击，针对网站的攻击类型，采取针对性的防御策略。
3.网站服务器隐藏在后端，代理ip节点部署在前端，访问者访问或攻击与代理ip节点连接，代理ip的防御机制自动识别是否为攻击，如果有，则自动清洗过滤。
4.将网站域名分析为代理ip自动生成的CNAME记录值，并修改网站域名分析，网站域名未分析为网站服务器IP，从而使网站服务器IP地址隐藏在公共网络中。

Ⅲ 服务器被攻击的常见手段以及解决方法

第1类：ARP欺骗攻击

ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的网络层，负责将某个IP地址解析成对应的MAC地址。

ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行。

ARP攻击的局限性

ARP攻击仅能在以太网（局域网如：机房、内网、公司网络等）进行，无法对外网（互联网、非本区域内的局域网）进行攻击。

2

第2类：CC攻击

相对来说，这种攻击的危害大一些。主机空间都有一个参数 IIS 连接数，当被访问网站超出IIS 连接数时，网站就会出现Service Unavailable 。攻击者就是利用被控制的机器不断地向被攻击网站发送访问请求，迫使IIS 连接数超出限制，当CPU 资源或者带宽资源耗尽，那么网站也就被攻击垮了。对于达到百兆的攻击，防火墙就相当吃力，有时甚至造成防火墙的CPU资源耗尽造成防火墙死机。达到百兆以上，运营商一般都会在上层路由封这个被攻击的IP。

针对CC攻击，一般的租用有防CC攻击软件的空间、VPS或服务器就可以了，或者租用章鱼主机，这种机器对CC攻击防御效果更好。

3

第3类：DDOS流量攻击

就是DDOS攻击，这种攻击的危害是最大的。原理就是向目标服务器发送大量数据包，占用其带宽。对于流量攻击，单纯地加防火墙没用，必须要有足够的带宽和防火墙配合起来才能防御

怎么去防御服务器被攻击呢？

用户购买高防IP，把域名解析到高防IP上(web业务只要把域名指向高防IP 即可。非web业务，把业务IP换成高防IP即可)同时在高防上设置转发规则;所有公网流量都会走高防机房，通过端口协议转发的方式将用户的访问通过高防IP转发到源站IP，同时将恶意攻击流量在高防IP上进行清洗过滤后将正常流量返回给源站IP，从而确保源站IP稳定访问的防护服务。

2

因而通常高防服务器都是针对ip来进行防御和管理，在租用服务器后，服务商会提供一个高防ip给用户，如果该ip出现异常流量时，高防机房中的硬件防火墙，牵引系统等会对流量进行智能识别，对恶意流量进行过滤，保证正常流量能够对服务器发出请求并得到正常的处理。

当然由于业务的不同，不同的高防IP所受到的保护流量范围也不一样，如果攻击流量过大，超过高防IP的承受范围时，为了保护机房的安全性，会暂时对该IP进行屏蔽。这时可能会造成网络不能正常访问。

3

高防IP包含哪些？

高防IP可以防御的有包括但不限于以下类型： SYN Flood、UDP Flood、ICMP Flood、IGMP Flood、ACK Flood、Ping Sweep 等攻击

Ⅳ 当海外服务器被恶意攻击了如何应对

第一，对网站受到攻击状况进行评估。
评估网站被攻击后的状况，比如DDOS攻击的次数及大小，然后做出相应的决策，确定是进行数据牵引还是关闭操作，又或者是需要找到相关的漏洞打补丁。Windows系统打上最新的补丁，然后就是mysql或者sql数据库补丁，还有php以及IIS，serv-u就更不用说了，经常出漏洞的东西，还有就是有些IDC们使用的虚拟主机管理软件。
第二，隐藏网站服务器的IP地址。
使用CDN要求将网站域名解析为CDN自动生成的cname记录值，而网站域名不解析为网站服务器的IP地址。这样，网站服务器的IP地址就不会自然地暴露在公共网络上，从而避免了对网站服务器的有针对性的攻击，提高了网站服务器的安全性。
第三，建立镜像网站。
一些大型网站在服务器受到攻击时会建立一个镜像网站，这样可以通过设置301跳转让用户可以正常的跳转访问，但是这个对搜索引擎并不友好，只是以防万一出现被攻击的状况。
第四，建立预防DDOS策略。
被攻击的类型比较多，建站DDOS防御策略是从根本上解决网站被攻击的问题。
第五，选择高防服务器。
高防服务器的安全性较普通服务器要高很多，选择高防服务器可以有效的避免网站被攻击的情况。

Ⅳ 受到某IP攻击怎么办

第一步，点击开始设置\控制面板\管理工具，双击打开本地安全策略，选中IP安全策略，在本地计算机，在右边窗格的空白位置右击鼠标，在弹出的快捷菜单里选择创建IP安全策略，这样弹出一个向导。在向导中点击下一步按钮，为新的安全策略命名（不重新命名也可以，以下都以未重新命名的为例）；再按下一步，显示安全通信请求画面，在画面上把激活默认相应规则左边的钩取消，点击完成按钮就创建了一个新的IP安全策略。 第二步，右击该IP安全策略，在属性对话框中，把使用添加向导左边的钩取消，然后单击添加按钮添加新的规则，随后弹出新规则属性对话框。在对话框中点击添加按钮，弹出IP筛选器列表窗口；在列表中，同样把使用添加向导左边的钩取消掉，然后再点击右边的添加按钮添加新的筛选器。 第三步，进入了筛选器属性对话框，首先看到的是寻址，源地址选任何IP地址，目标地址选我的IP地址；点击协议选项卡，在选择协议类型的下拉列表中选择TCP，然后在到此端口下的文本框中输入135，点击确定按钮，这样就添加了一个屏蔽TCP135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。点击确定后回到筛选器列表的对话框，可以看到已经添加了一条策略。重复以上步骤继续添加TCP137、139、445、 593 端口和UDP135、139、445 端口，也可继续添加TCP1025、2745、3127、6129、3389 端口的屏蔽策略为它们建立相应的筛选器。最后点击确定按钮。 第四步，在新规则属性对话框中，选择新IP 筛选器列表，然后点击其左边的圆圈上加一个点，表示已经激活，接着点击筛选器操作选项卡，在筛选器操作选项卡中，也把使用添加向导左边的钩取消，点击添加按钮，添加阻止操作；在新筛选器操作属性的安全措施选项卡中，选择阻止，然后点击确定。 第五步、进入了新规则属性对话框，点击新筛选器操作，其左边的圆圈会加了一个点，表示已经激活，点击关闭按钮，关闭对话框；最后回到新IP安全策略属性对话框，在新的IP筛选器列表左边打钩，按确定按钮关闭对话框。回到本地安全策略窗口，用鼠标右击新添加的IP安全策略，选择指派。 重新启动后，电脑中上述网络端口就被关闭了，病毒和黑客再也不能连上这些端口，从而保护了我们的电脑。（有的用户管理员的密码为空，是不好的，这会让人有机可乘。另win9X与win2000/xp内核不一样，设置也不一样。 3389端口大家也关掉 ！ 方法1：关闭RPC服务 由于通过135网络端口，只能远程运行一些通过DCOM技术开发出来的应用程序，而DCOM技术在通信过程中，需要用到RPC服务；因此如果将服务器中的RPC服务停用的话，就能达到禁用135网络端口的目的了。在禁用RPC服务时，可以依次单击"开始"/"程序"/"管理工具"/"服务"命令，在随后打开的"服务"列表中，双击其中的"Remote Procere Call"选项，打开设置界面，将该界面的启动类型设置为"已禁用"选项，再单击一下"确定"按钮，服务器的RPC服务就会被暂时停用了。不过这种方法有很大的弊病，因为一旦将服务器的RPC服务停用的话，那么服务器将无法正常对外提供相关服务，比如数据库查询服务、远程登录服务等，因此这种方法只适合于普通的计算机，或者适合仅对外提供WWW服务、DNS服务的服务器。 方法2：禁用系统DCOM 考虑到服务器中的DCOM服务才会访问135网络端口，要是我们能让系统禁用DCOM服务功能的话，就能实现间接地关闭135端口的目的了。要禁用计算机系统中的DCOM功能时，可以在系统的"开始"菜单中，执行"运行"命令，在弹出的运行对话框中，执行"dcomcnfg.exe"命令，在随后弹出的设置界面中，单击"默认属性"选项，在弹出的选项页面中，选中"在这台计算机上启用分布式COM"项目，再单击一下"确定"按钮，这样的话就能实现禁用系统DCOM服务的目的了。 方法3：禁用网络登录 如果我们事先设置一下服务器，让其不允许任何用户通过网络登录到服务器的话，那么黑客或攻击者自然就无法通过135网络端口，来对服务器进行攻击破坏了。要禁止其他用户通过网络来远程登录服务器时，可以通过修改组策略设置的方法来实现： 依次单击"开始"/"运行"命令，在弹出的运行对话框中，输入"gpedit.msc"命令，单击"确定"按钮后，打开组策略编辑界面；依次展开该界面中的"计算机配置"、"Windows设置"、"安全设置"、"本地策略"、"用户权利指派"选项，在对应"用户权利指派"选项的右侧区域中，双击"拒绝从网络访问这台计算机"项目； 接着单击其后窗口中的"添加"按钮，将"everyone"帐号导入进来，这样就能"命

Ⅵ 服务器被攻击怎么办

服务器被攻击怎么办
安装软件防火墙， 可以对一定的攻击行为进行拦截和防御。可以用安全狗来防护，防黑抗攻击杀病毒。

查看系统日志，日记服务可以记录黑客的行踪，通过日志看下入侵者在系统上做过什么手脚，在系统上留了哪些后门，给系统造成了哪些破坏及隐患，服务器到底还存在哪些安全漏洞等，建议可以查看下日志。

做好数据备份。及时做好服务器系统备份，万一遭到破坏也可及时恢复。

对服务器进行整体扫描，看下有什么问题，漏洞之类的，及时修复。

服务器被DDOS攻击 要怎么办
DoS（Denial of Service）是一种利用合理的服务请求占用过多的服务资源，从而使合法用户无法得到服务响应的网络攻击行为。

被DoS攻击时的现象大致有：

* 被攻击主机上有大量等待的TCP连接；

* 被攻击主机的系统资源被大量占用，造成系统停顿；

* 网络中充斥着大量的无用的数据包，源地址为假地址；

* 高流量无用数据使得网络拥塞，受害主机无法正常与外界通讯；

* 利用受害主机提供的服务或传输协议上的缺陷，反复高速地发出特定的服务请求，使受害主机无法及时处理所有正常请求；

* 严重时会造成系统死机。

到目前为止，防范DoS特别是DDoS攻击仍比较困难，但仍然可以采取一些措施以降低其产生的危害。对于中小型网站来说，可以从以下几个方面进行防范：

主机设置：

即加固操作系统，对各种操作系统参数进行设置以加强系统的稳固性。重新编译或设置Linux以及各种BSD系统、Solaris和Windows等操作系统内核中的某些参数，可在一定程度上提高系统的抗攻击能力。

例如，对于DoS攻击的典型种类—SYN Flood，它利用TCP/IP协议漏洞发送大量伪造的TCP连接请求，以造成网络无法连接用户服务或使操作系统瘫痪。该攻击过程涉及到系统的一些参数：可等待的数据包的链接数和超时等待数据包的时间长度。因此，可进行如下设置：

* 关闭不必要的服务；

* 将数据包的连接数从缺省值128或512修改为2048或更大，以加长每次处理数据包队列的长度，以缓解和消化更多数据包的连接；

* 将连接超时时间设置得较短，以保证正常数据包的连接，屏蔽非法攻击包；

* 及时更新系统、安装补丁。

防火墙设置：

仍以SYN Flood为例，可在防火墙上进行如下设置：

* 禁止对主机非开放服务的访问；

* 限制同时打开的数据包最大连接数；

* 限制特定IP地址的访问；

* 启用防火墙的防DDoS的属性；

* 严格限制对外开放的服务器的向外访问，以防止自己的服务器被当做工具攻击他人。

此外，还可以采取如下方法：

* Random Drop算法。当流量达到一定的阀值时，按照算法规则丢弃后续报文，以保持主机的处理能力。其不足是会误丢正常的数据包，特别是在大流量数据包的攻击下，正常数据包犹如九牛一毛，容易随非法数据包被拒之网外；

* SYN Cookie算法，采用6次握手技术以降低受攻击率。其不足是依据列表查询，当数据流量增大时，列表急剧膨胀，计算量随之提升，容易造成响应延迟乃至系统瘫痪。

由于DoS攻击种类较多，而防火墙只能抵挡有限的几种。

路由器设置：

以Cisco路由器为例，可采取如下方法：

* Cisco Express Forwarding（CEF）；

* 使用Unicast reverse-path；

* 访问控制列表（ACL）过滤；

* 设置数据包流量速率；

* 升级版本过低的IOS；

* 为路由器建立log server。

其中，使用CEF和Unicast设置时要特别注意，使用不当会造成路由器工作效率严重下降。升级IOS也应谨慎。

路由器是网络的核心设备，需要慎重设置，最好修改后，先不保存，以观成效。Cisco路由器有两种配置，startup config和running config，修改的时候改变的是running config，......>>
云服务器被黑客入侵攻击了怎么办
重启系统从做重设root密码端口不要默认
服务器被攻击怎么办
1、查看下是什么类型的攻击。检查下系统日志，看下攻击者都去了哪些地方

2、关闭不必要的服务和端口

3、整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号；内容是否又被修改的痕迹等，如果发现问题及时进行清理。

4、重新设置账户密码，以及设置账户权限。

5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果服务器上没有安装防护软件，可以看下安全狗软件。还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。

6、如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务，包括安全狗，安全宝、加速乐等。

7定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。
如何查看服务器是否被攻击
netstat -anp grep 'tcp\udp' awk '{print $5}' cut -d: -f1 sort uniq -c sort –n该命令将显示已登录的是连接到服务器的最大数量的IP的列表。DDOS变得更为复杂，因为攻击者在使用更少的连接，更多数量IP的攻击服务器的情况下，你得到的连接数量较少，即使你的服务器被攻击了。有一点很重要，你应该检查当前你的服务器活跃的连接信息，执行以下命令：netstat -n grep :80 wc –l
服务器被攻击怎么办
查看下是什么类型的攻击。

1、检查下系统日志，看下攻击者都去了哪些地方

2、关闭不必要的服务和端口

3、整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号；内容是否又被修改的痕迹等，如果发现问题及时进行清理。

4、重新设置账户密码，以及设置账户权限。

5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果服务器上没有安装防护软件，可以看下安全狗软件。

如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务，包括安全狗，安全宝、加速乐等。

6、如果之前有做备份，建议对重要数据进行替换。
服务器被攻击怎么办
查看下系统日志，系统会记录下所有用户使用系统的情形，包括登陆使用情况，攻击路线等。

检测下服务器上的网站，看下网站是被挂马等，看下服务器上的内容是否有被篡改的，及时处理。

及时为服务器打上补丁，避免漏洞被利用；

对服务器安全而言，安装防火墙是非常必要的。防火墙对于非法访问、攻击、篡改等都具有很好的预防、防护作用。防火墙有硬件防火墙和软件防火墙之分。软防可以看下安全狗，可以对服务器和网站进行安全防护。（如果你有成本，有需要，也可以看下硬防）

安装服务器杀毒软件（服务器安全狗有杀毒功能），并定期或及时升级杀毒软件，以及每天自动更新病毒库。

关闭不需要的服务和端口。在服务器使用过程中，可以关闭一些不需要的服务和端口。因为开启太多的服务，会占用系统的资源，而且也会增加系统安全威胁。

建议定期度服务器数据库进行备份。

账户密码设置的复杂些，并定期修改密码。账号和密码保护可以说是服务器系统的第一道防线，目前网上大部分对服务器系统的攻击都是从截获或猜测密码开始。
服务器被黑客攻击怎么办
1、检查系统日志，查看下是什么类型的攻击，看下攻击者都去了哪些地方。内容是否又被修改的痕迹等，如果发现问题及时进行清理。

2、关闭不必要的服务和端口

3、定期整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号等。

4、重新设置账户密码，密码设置的复杂些；以及设置账户权限。

5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果没有安装，可以安装个服务器安全狗，同时，还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。6、检测网站，是否又被挂马、被篡改、挂黑链等，如果有，及时清理。

7、如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务。

8、定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。
如何防范服务器被攻击
一，首先服务器一定要把administrator禁用，设置一个陷阱账号:"Administrator"把它权限降至最低,然后给一套非常复杂的密码，重新建立

一个新账号，设置上新密码，权限为administraor

然后删除最不安全的组件：

建立一个BAT文件,写入

regsvr32/u C:\WINDOWS\System32\wshom.ocx

del C:\WINDOWS\System32\wshom.ocx

regsvr32\u C:\WINDOWS\system32\shell32.dll

del C:\WINDOWS\system32\shell32.dll

二，IIS的安全：

1、不使用默认的Web站点，如果使用也要将 将IIS目录与系统磁盘分开。

2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。

3、删除系统盘下的虚拟目录，如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

4、删除不必要的IIS扩展名映射。

右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml, .shtm, .stm

5、更改IIS日志的路径

右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性

6、如果使用的是2000可以使用iislockdown来保护IIS，在2003运行的IE6.0的版本不需要。

八、其它

1、 系统升级、打操作系统补丁，尤其是IIS 6.0补丁、SQL SP3a补丁，甚至IE 6.0补丁也要打。同时及时跟踪最新漏洞补丁;

2、停掉Guest 帐号、并给guest 加一个异常复杂的密码，把Administrator改名或伪装!

3、隐藏重要文件/目录

可以修改注册表实现完全隐藏:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi

-dden\SHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0

4、启动系统自带的Internet连接防火墙，在设置服务选项中勾选Web服务器。

5、防止SYN洪水攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

EnablePMTUDiscovery 值为0

NoNameReleaseOnDemand 值为1

EnableDeadGWDetect 值为0

KeepAliveTime 值为300,000

PerformRouterDiscovery 值为0

EnableICMPRedirects 值为0

6. 禁止响应ICMP路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic......>>
服务器被攻击了，被黑了怎么处理
你指的是账号密码被盗了吗？还是说服务器被远程入侵做不好的事情了？

第一种情况：如果是账号密码被盗，马上联系所在的服务器运营商，让机房网维技术马上帮你把服务器破密，更换服务器密码，而且要换一个难一点的更加安全的密码

第二种情况：如果是被入侵，先马上联系服务器运营商，让他帮你先把服务器的IP先封掉，防止继续被利用，让后让技术帮你把服务器重装系统，重新把账号密码更换掉，这样服务器就可以重新恢复安全了

腾正科技-嘉辉，希望我的回答能帮到你！

Ⅶ 服务器受到黑客攻击怎么办

1、屏蔽攻击源ip地址，从源头上堵死流量来源
登录cpanel后台，找到”日志”>>>“访客”
仔细分析下里面的访客IP,如果某一IP地址在短时间内有大量的数据，可以考虑屏蔽掉。通过”访客”这个目录进去，数据太多，并且都是网页版本的，分析起来比较麻烦。另外一个方法是点击”日志”>>>“原始访问日志”，下载压缩包并解压，使用文本编辑器打开分析。
使用这种方式也有一定的缺陷。攻击者敢于攻击，肯定也想到了一定的规避措施。在分析ip地址的时候，我们不仅仅判断同一个ip地址，更要判断出同一类型的ip地址。ip地址分为三类型，A类，B类，C类。判断一个IP地址属于哪个类型，只需要看ip地址的第一个字节。A类IP的地址第一个字段范围是0~127，B类地址范围：128.0.0.1到191.255.255.254，C类地址的第一组数字为192～223。如果两个ip地址不同，但是属于同一类型的ip地址，并且网络号一样，那么也是我们要考虑过滤的ip地址。
这种方式也会有一定的误判，只在非常时期使用。现在很多人刷流量使用流量精灵等软件来刷，ip都是代理的，很难找到元兇。
2、向网络站长平台提交异常报告,附加上相关截图
3、使用杭州超级科技的超级防护盾
百分百防御cc攻击，无上限防御ddos攻击！价格划算，可以试用看效果说话！欢迎搜索咨询！

Ⅷ 您的IP最近有可疑的攻击行为,怎么解决

恶意ip加入黑名单即可解决该问题。

IP攻击是利用IP地址并不是出厂的时候与MAC固定在一起的，攻击者通过自封包和修改网络节点的IP地址，冒充某个可信节点的IP地址，进行攻击，可以对恶意攻击IP进行拉黑处理。

由于TCP/IP协议是Internet的基础协议，所以对TCP/IP协议的完善和改进是非常必要的。TCP/IP协议从开始设计时候并没有考虑到网络上如此多的威胁，由此导致了许多形形色色的攻击方法，一般针对协议原理的攻击(尤其是DDOS)我们无能为力。

TCP协议漏洞

假设主机A和B建立TCP连接，要进行三次握手。针对TCP协议的攻击原理是：TCP协议三次握手没有完成的时候，被请求端B一般都会重试（即再给A发送SYN+ACK报文）并等待一段时间，这就可以用来进行DoS、Land、SYN flood攻击。

在SYN flood攻击中，黑客向受害主机发送大量伪造源地址的TCP SYN报文，受害主机分配必要的资源，然后向源地址返回SYN+ACK包；并等待源地址返回ACK包，由于源地址是伪造的所以源端永远不会发送ACK包；

所以受害主机继续发送SYN+ACK包，并将半链接放入端口的积压队列之中，虽然一般主机都有超时机制和默认的重传次数，但是如果不断向受害主机发送大量的TCP SYN报文，半连接队列就会很快被填满，导致受害主机无法响应其他主机的连接请求。

防御方法：针对SYN flood的攻击防范措施主要有两种：一种是通过防火墙、路由器等过滤网关防护，另一种是通过加固TCP/IP协议栈。

Ⅸ 服务器被攻击了怎么办

安全总是相对的，再安全的服务器也有可能遭受到攻击。作为一个安全运维人员，要把握的原则是：尽量做好系统安全防护，修复所有已知的危险行为，同时，在系统遭受攻击后能够迅速有效地处理攻击行为，最大限度地降低攻击对系统产生的影响。

一、处理服务器遭受攻击的一般思路

系统遭受攻击并不可怕，可怕的是面对攻击束手无策，下面就详细介绍下在服务器遭受攻击后的一般处理思路。

1.切断网络

所有的攻击都来自于网络，因此，在得知系统正遭受黑客的攻击后，首先要做的就是断开服务器的网络连接，这样除了能切断攻击源之外，也能保护服务器所在网络的其他主机。

2.查找攻击源

可以通过分析系统日志或登录日志文件，查看可疑信息，同时也要查看系统都打开了哪些端口，运行哪些进程，并通过这些进程分析哪些是可疑的程序。这个过程要根据经验和综合判断能力进行追查和分析。下面的章节会详细介绍这个过程的处理思路。

3.分析入侵原因和途径

既然系统遭到入侵，那么原因是多方面的，可能是系统漏洞，也可能是程序漏洞，一定要查清楚是哪个原因导致的，并且还要查清楚遭到攻击的途径，找到攻击源，因为只有知道了遭受攻击的原因和途径，才能删除攻击源同时进行漏洞的修复。

4.备份用户数据

在服务器遭受攻击后，需要立刻备份服务器上的用户数据，同时也要查看这些数据中是否隐藏着攻击源。如果攻击源在用户数据中，一定要彻底删除，然后将用户数据备份到一个安全的地方。

5.重新安装系统

永远不要认为自己能彻底清除攻击源，因为没有人能比黑客更了解攻击程序，在服务器遭到攻击后，最安全也最简单的方法就是重新安装系统，因为大部分攻击程序都会依附在系统文件或者内核中，所以重新安装系统才能彻底清除攻击源。

6.修复程序或系统漏洞

在发现系统漏洞或者应用程序漏洞后，首先要做的就是修复系统漏洞或者更改程序bug，因为只有将程序的漏洞修复完毕才能正式在服务器上运行。

7.恢复数据和连接网络

将备份的数据重新复制到新安装的服务器上，然后开启服务，最后将服务器开启网络连接，对外提供服务。

二、检查并锁定可疑用户

当发现服务器遭受攻击后，首先要切断网络连接，但是在有些情况下，比如无法马上切断网络连接时，就必须登录系统查看是否有可疑用户，如果有可疑用户登录了系统，那么需要马上将这个用户锁定，然后中断此用户的远程连接。

1.登录系统查看可疑用户

通过root用户登录，然后执行“w”命令即可列出所有登录过系统的用户，如下图所示。

通过这个输出可以检查是否有可疑或者不熟悉的用户登录，同时还可以根据用户名以及用户登录的源地址和它们正在运行的进程来判断他们是否为非法用户。

2.锁定可疑用户

一旦发现可疑用户，就要马上将其锁定，例如上面执行“w”命令后发现nobody用户应该是个可疑用户(因为nobody默认情况下是没有登录权限的)，于是首先锁定此用户，执行如下操作：

• [root@server ~]# passwd -l nobody

锁定之后，有可能此用户还处于登录状态，于是还要将此用户踢下线，根据上面“w”命令的输出，即可获得此用户登录进行的pid值，操作如下：

• [root@server ~]# ps -ef|grep @pts/3

• 531 6051 6049 0 19:23 ? 00:00:00 sshd: nobody@pts/3

• [root@server ~]# kill -9 6051

这样就将可疑用户nobody从线上踢下去了。如果此用户再次试图登录它已经无法登录了。

3.通过last命令查看用户登录事件

last命令记录着所有用户登录系统的日志，可以用来查找非授权用户的登录事件，而last命令的输出结果来源于/var/log/wtmp文件，稍有经验的入侵者都会删掉/var/log/wtmp以清除自己行踪，但是还是会露出蛛丝马迹在此文件中的。

三、查看系统日志

查看系统日志是查找攻击源最好的方法，可查的系统日志有/var/log/messages、/var/log/secure等，这两个日志文件可以记录软件的运行状态以及远程用户的登录状态，还可以查看每个用户目录下的.bash_history文件，特别是/root目录下的.bash_history文件，这个文件中记录着用户执行的所有历史命令。

四、检查并关闭系统可疑进程

检查可疑进程的命令很多，例如ps、top等，但是有时候只知道进程的名称无法得知路径，此时可以通过如下命令查看：

首先通过pidof命令可以查找正在运行的进程PID，例如要查找sshd进程的PID，执行如下命令：

然后进入内存目录，查看对应PID目录下exe文件的信息：

这样就找到了进程对应的完整执行路径。如果还有查看文件的句柄，可以查看如下目录：

[root@server ~]# ls -al /proc/13276/fd

通过这种方式基本可以找到任何进程的完整执行信息，此外还有很多类似的命令可以帮助系统运维人员查找可疑进程。例如，可以通过指定端口或者tcp、udp协议找到进程PID，进而找到相关进程：

在有些时候，攻击者的程序隐藏很深，例如rootkits后门程序，在这种情况下ps、top、netstat等命令也可能已经被替换，如果再通过系统自身的命令去检查可疑进程就变得毫不可信，此时，就需要借助于第三方工具来检查系统可疑程序，例如前面介绍过的chkrootkit、RKHunter等工具，通过这些工具可以很方便的发现系统被替换或篡改的程序。

五、检查文件系统的完好性

检查文件属性是否发生变化是验证文件系统完好性最简单、最直接的方法，例如可以检查被入侵服务器上/bin/ls文件的大小是否与正常系统上此文件的大小相同，以验证文件是否被替换，但是这种方法比较低级。此时可以借助于Linux下rpm这个工具来完成验证，操作如下：

对于输出中每个标记的含义介绍如下：

S 表示文件长度发生了变化M 表示文件的访问权限或文件类型发生了变化5 表示MD5校验和发生了变化D 表示设备节点的属性发生了变化L 表示文件的符号链接发生了变化U 表示文件/子目录/设备节点的owner发生了变化G 表示文件/子目录/设备节点的group发生了变化T 表示文件最后一次的修改时间发生了变化

如果在输出结果中有“M”标记出现，那么对应的文件可能已经遭到篡改或替换，此时可以通过卸载这个rpm包重新安装来清除受攻击的文件。

不过这个命令有个局限性，那就是只能检查通过rpm包方式安装的所有文件，对于通过非rpm包方式安装的文件就无能为力了。同时，如果rpm工具也遭到替换，就不能通过这个方法了，此时可以从正常的系统上复制一个rpm工具进行检测。

对文件系统的检查也可以通过chkrootkit、RKHunter这两个工具来完成，关于chkrootkit、RKHunter工具的使用，下次将展开介绍。

Ⅹ 服务器被攻击怎么处理

目前来说解决服务器被DDOS攻击最常见的办法就是使用硬件防火墙了，也就是我们常说的高防服务器，高防服务器都会带有一定量的硬防，或大或小。