网站被黑检测支持
网站被黑恢复支持
服务方式人工安全部署
**签订合同
服务范围网站和APP
网站的管理员每天的工作就是检查网站发布的文章以及网站在百度的排名为位置，而网站被中毒后的个就是查看页源代码，发现标题描述以及关键词都被加密显示,而且从百度搜索关键词点击直接被跳转到其他网站，如果是直接输入域名从浏览器里打开是正常的，这是因为植入中毒的代码里包含了来路条件判断，如果是从搜索引擎来的直接跳转，如果是直接输入域名打开的就显示正常。
近日，某一客户服务器被入侵，导致服务器被植入木马病毒，重做系统也于事无补，目前客户处于瘫痪状态，损失较大，通过朋友介绍找到我们SINE安全公司，我们立即成立安全应急处理小组，针对客户服务器被攻击，被黑的情况进行全面的安全检测与防护部署。记录一下我们整个的安全处理过程，教大家该如何防止服务器被攻击，如何解决服务器被入侵的问题。
首先我们来确认下客户的服务器，使用的是linux centos系统，采用的PHP语言开发，数据库类型是mysql，使用开源的thinkphp架构二次开发而成，服务器配置是16核，32G内存，带宽100M享，使用的是阿里云ECS服务器，在被攻击之前，收到过阿里云的短信，提示服务器在异地登录，我们SINE安全技术跟客户对接了阿里云的账号密码以及服务器的IP，SSH端口，root账号密码。立即展开对服务器的安全应急处理。
登录服务器后我们发现CPU占用百分之90多，16核的处理使用当中，立即对占用CPU的进程进行追查发现是watchdogs进程占用着，导致服务器卡顿，客户的无法打开状态，查看服务器的带宽使用占用到了100M，带宽全部被占满，一开始以为遭受到了DDOS流量攻击，通过我们的详细安全分析与检测，可以排除流量攻击的可能，再对watchdogs相关联的进程查看的时候发现了问题。服务器被入侵植入了木马病毒，植入木马的手法很高明，彻底的隐藏起来，肉眼根本无法察觉出来，采用的是rootkit的技术不断的隐藏与生成木马。
找到了攻击特征，我们紧接着在服务器的计划任务里发现被增加了任务，crontab每小时自动下载SO文件到系统目录当中去，该SO文件下载下来经过我们的SINE门检测发现是木马后门，而且还是免杀的，植入到系统进程进行伪装。
知道木马的位置以及来源，我们对其进行了强制，对进程进行了修复，防止木马自动运行，对系统文件里的SO文件进行，与目录做防篡改部署，杀掉KILL恶意的进程，对linux服务器进行了安全加固。那么服务器到底是如何被植入木马，被攻击的呢？经过我们SINE安全2天2夜的不间断安全检测与分析，终于找到服务器被攻击的原因了，是存在漏洞，导致上传了webshell木马，还留了一句话木马，攻击者直接通过漏洞进行篡改上传木马文件到根目录下，并提权拿到服务器的root权限，再植入的木马。
如何防止服务器被攻击，被入侵
首先我们要对漏洞进行修复，对客户代码进行全面的安全检测与分析，对上传功能，以及sql注入，XSS跨站，远程代码执行漏洞进行安全测试，发现客户代码存在上传漏洞，立即对其进行修复，限制上传的文件类型，对上传的目录进行无脚本执行权限的署，对客户的服务器登录做了安全限制，不仅仅使用的是root账号密码，而且还需要证书才能登录服务器。如果服务器反复被攻击，建议找的网络安全公司来解决问题，国内也就Sinesafe和绿盟、启明星辰等安全公司比较.的事，就得需要的人干，至此服务器被攻击的问题得以解决，客户恢复正常，也希望更多遇到同样问题的服务器，都能通过上面的办法解决。
首先我们会对当前服务器的IP，以及IP的地址，linux服务器名称，服务器的版本是centos,还是redhat，服务器的当前时间，进行收集并记录到一个txt文档里，接下来再执行下一步，对当前服务器的异常网络连接以及异常的系统进程检查，主要是通过netstat -an以及-antp命令来检查服务器存在哪些异常的IP连接。并对连接的IP，进行归属地查询，如果是国外的IP，直接记录当前进程的PID值，并自动将PID的所有信息记录，查询PID所在的linux文件地址，紧接着检查当前占用CPU大于百分之30的进程，并检查该进程所在的文件夹。
网站被攻击百度快照遭到劫持怎么办？
上述特点有两个重要问题。
1.客户粗心。
俗话说得好：“事情出变不离其宗”，网站一开始出现内容被篡改的情况，没引起警觉，觉得换回就可以了，殊不知能被劫持一次，网站的安全保护意识很低。
2.网站或服务器有漏洞。
攻击的方式天天更新，世界上也不存在没有任何漏洞的软件，只是发现早或晚。还没找到我们之前，很多客户都认为在服务器上安装一个安全保护软件是安全的。熟人不知道真正的保护程度也许只有50%，也许大多数的原因是心理安慰。安全性本身是个不断讨论的话题，安全服务本身就是一项不可能一劳永逸的服务。
网站被非法入侵基本上都是网站出现安全漏洞，网站后门被攻破。如果是空间被入侵，同ip网站可能都会收到牵连，需要联系空间商进行处理，或者直接将网站搬家，购买租赁安全性能更高的服务商。
要时刻保持备份，一旦发生中毒网站文件被篡改的问题直接先恢复备份，恢复正常访问，以免遭到降权，要检查近修改的文件，以及网站后台登录记录看看有无可疑的IP，如果是单服务器的话，要检查服务器中的所有网站看看可疑的脚本文件，检查附件目录有无脚本后缀的文件，也可以对访问日志进行溯源，就会查到蛛丝马迹，主要的一点就是对程序代码进行安全审计，进行网站漏洞修复，因为如果你光靠恢复备份来解决问题的话是治标不治本的，因为漏洞是存在的，要找到问题的根本，如果对代码不熟悉的话可以向网站漏洞修复公司寻求帮助，像SINESAFE，鹰盾安全，启明星辰等都是对网站漏洞修复有着数十年的实战安全防护经验。
http://www.qdshtddzkj.com
