在安全的服务器都有概率被攻击，就算一个没有访问量的个人博客也有被攻击的事情发生。今天小蚁君就跟大家讲讲当我们的服务器被攻击了到底该如何处理。

首先我们要分析到底是什么类型的攻击，是很常见的分布式拒绝服务攻击还是技术含量很高的渗透入侵等等。因为篇幅有限今天就只和大家说说分布式拒绝服务攻击和入侵的防御方法。

1. 分布式拒绝服务攻击

分布式拒绝服务攻击原理分布式拒绝服务攻击DDoS是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布的、协同的大规模攻击方式。单一的DoS攻击一般是采用一对一方式的，它利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。与DoS攻击由单台主机发起攻击相比较，分布式拒绝服务攻击DDoS是借助数百、甚至数千台被入侵后安装了攻击进程的主机同时发起的集团行为。

一个完整的DDoS攻击体系由攻击者、主控端、代理端和攻击目标四部分组成。主控端和代理端分别用于控制和实际发起攻击，其中主控端只发布命令而不参与实际的攻击，代理端发出DDoS的实际攻击包。对于主控端和代理端的计算机，攻击者有控制权或者部分控制权．它在攻击过程中会利用各种手段隐藏自己不被别人发现。真正的攻击者一旦将攻击的命令传送到主控端，攻击者就可以关闭或离开网络．而由主控端将命令发布到各个代理主机上。这样攻击者可以逃避追踪。每一个攻击代理主机都会向目标主机发送大量的服务请求数据包，这些数据包经过伪装，无法识别它的来源，而且这些数据包所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。甚至导致系统崩溃。

解决方案：首先我们需要更换一条干净的源IP，因为旧的IP已经暴露。更换源IP后找到做防御的专业云厂商接入防御，隐藏这条新的源IP这样攻击方的所有恶意攻击就只能打在防御节点上，您的源服务器就不会出现黑洞，CPU过载等等的情况。

2. 入侵

当我们服务器被入侵后我们该做的事情：

账号密码安全检测：

首先我们要检查我们服务器的管理员账号密码安全，查看服务器是否使用弱口令，比如123456.123456789,123123等等密码，包括administrator账号密码，Mysql数据库密码，网站后台的管理员密码，都要逐一的排查，检查密码安全是否达标。

再一个检查服务器系统是否存在恶意的账号，以及新添加的账号，像admin,admin$,这样的账号名称都是由攻击者创建的，只要发现就可以大致判断服务器是被黑了。检查方法就是打开计算机管理，查看当前的账号，或者cmd命令下：net user查看，再一个看注册表里的账号。

通过服务器日志检查管理员账号的登录是否存在恶意登录的情况，检查登录的时间，检查登录的账号名称，检查登录的IP，看日志可以看680.682状态的日志，逐一排查。

服务器端口、系统进程安全检测：

打开CMD netstat -an 检查当前系统的连接情况，查看是否存在一些恶意的IP连接，比如开放了一些不常见的端口，正常是用到80网站端口，8888端口，21FTP端口，3306数据库的端口，443 SSL证书端口，9080 java端口，22 SSH端口，3389默认的远程管理端口，1433 SQL数据库端口。除以上端口要正常开放，其余开放的端口就要仔细的检查一下了，看是否向外连接。

再一个查看进程，是否存在恶意进程，像木马后门都会植入到进程当中去。新手如果不懂如何查看进程，可以使用工具，微软的Process Explorer，还有剪刀手，最简单的就是通过任务管理器去查看当前的进程，像linux服务器需要top命令，以及ps命令查看是否存在恶意进程。一般如果被黑，可以从以下几大方面判断，CPU占用过高，有些进程没有正式的签名，进程的路径不合法，不是系统目录。

服务器启动项、计划任务安全检测：

查看服务器的启动项，输入msconfig命令，看下是否有多余的启动项目，如果有检查该启动项是否是正常。再一个查看服务器的计划任务，通过控制面板，组策略查看。服务自启动，查看系统有没有自己主动启动一些进程。

服务器的后门木马查杀

下载360杀毒，并更新病毒库，对服务器进行全面的安全检测与扫描，修复系统补丁，对网站的代码进行人工的安全检测，对网站漏洞的检测，网站木马后门的检测，也可以使用webshell查杀工具来进行查杀，最重要的是木马规则库。

网站日志，服务器日志一定要提前开启，开启审核策略，包括一些服务器系统的问题，安装的软件出错，管理员操作日志，登录服务器日志，以便方便后期出现服务器被黑事件，可以进行分析查找并溯源。网站的日志也要开启，IIS下开启日志记录，apache等环境请直接在配置文件中进行日志的开启与日志路径配置。以上就是服务器被黑，该如何的查找被黑的痕迹。