linux 被黑客侵入，但是却找不到黑客的登录历史记录

li494394412 2016-12-11 02:20:10

网站突然打不开了，然后登录服务器查看，发现history记录有不少不是本人的记录，这台服务器就本人自己在使用，随便来一张截图

但是通过`last`命令却找不到黑客的登录历史记录，在阿里云服务器的控制台内也找不到有异常登录，但是确实history黑客进行了很多操作

本人是linux新手一枚，这里就不知道黑客是怎样进行登录了，自认为ssh远程登录密码复杂度也可以，端口号也是自己设置的其他端口号，希望各位大神指点一下

...全文

726 7 打赏收藏转发到动态举报

写回复

用AI写文章

7 条回复

切换为时间正序

请发表友善的回复…

发表回复

cqyy725 2016-12-19

打赏
举报

没有哪个黑客会留下证据的，除非菜鸟，mysql --skip-grant-tables 这条命令你要注意你的数据安全了，可能已经被盗。最好做漏扫排除sql注入，ssh关闭root登陆，并且使用证书登录，不要使用密码

vanishedtear 2016-12-16

打赏
举报

1、建议不要使用Web的ssh终端 2、使用ssh的时候，使用rsa认证，同时关闭密码登陆，只能通过公私钥的方式来登陆终端 3、可以的话另外自己指定日志的路径（双份），入侵的会自以为清理干净了操作记录，系统默认的日志路径稍微有点攻防知识的黑客都会清理，你的history没有被清理，额，那个入侵的技术很可能也就一般，基本上面方法2就可以挡住很多的入侵了

qq296015668 2016-12-14

打赏
举报

通过查看网站日志，数据库日志和网站后台日志判断是从网站端登录还是系统端登录。不会自己维护的话，建议还是使用阿里云的付费服务或者安装其他安全软件如果不介意也可以把网站发出来，帮忙分析。如果是通过SSH登录的，阿里云是可以看到登录历史记录的。

uid123 2016-12-12

打赏
举报

引用 2 楼 li494394412 的回复:

怎样测试呢，在url后面加上=1 and 1吗，还有啥是动态数据库……

什么是动态的？什么是静态的？不带数据库就是静态的，通常结尾都是.html，带数据库就是动态的，通常内部含有后台数据库支持，以.php .jsp .asp .aspx等结尾，或者含有ID=XX的字样。在动态的网站里面结尾后面加上 and 1=1 然后回车，如果是好点的网站就会提示：不要尝试注入！当然这种只能抵挡部分注入，利用注入中转或者其他工具就也可以注入。注入后就可以获得溢出权限，相当于远程登录。这只是一种方法。看到你截图中有数据库，首先考虑这个。当然要是用暴力破解方法也可以解开登录管理权限密码，如果密码超过10位且是数字+字母+符号的话想2天内破解是不太可能。尤其是在这种LINUX服务器上。（区分大小写）

hailee1985 2016-12-12

打赏
举报

这个好高深啊！！！！！！！

li494394412 2016-12-11

打赏
举报

引用 1 楼 uid123 的回复:

呵呵看来是注入式的病毒，屏蔽了注入方法了没，动态数据库不好吧？不知道屏蔽注入试代码了没？？比方说：xxxxxxx.xxx.ID=XXXX&xxxx 在后面输入=1 and 1看有啥结果是不是可以直接进去？，如果是那你的防御手段也太低了。建议看看黑客攻防类书，估计可能是利用注入漏洞，注入溢出代码，形成SHELL，获得权限的，增强一下动态数据库的防御吧。

怎样测试呢，在url后面加上=1 and 1吗，还有啥是动态数据库……

uid123 2016-12-11

打赏
举报

呵呵看来是注入式的病毒，屏蔽了注入方法了没，动态数据库不好吧？不知道屏蔽注入试代码了没？？比方说：xxxxxxx.xxx.ID=XXXX&xxxx 在后面输入=1 and 1看有啥结果是不是可以直接进去？，如果是那你的防御手段也太低了。建议看看黑客攻防类书，估计可能是利用注入漏洞，注入溢出代码，形成SHELL，获得权限的，增强一下动态数据库的防御吧。