當公司的網站伺服器被黑，被入侵導緻整個網站，以及業務系統癱瘓，給企業帶來的損失無法估量，但是當發生伺服器被攻擊的情況，作為伺服器的維護人員應當在第一時間做好安全響應，對伺服器以及網站應以最快的時間恢複正常運作，讓損失減少到最低，針對于黑客攻擊的痕迹應該如何去查找溯源，還原伺服器被攻擊的現場，SINE安全公司制定了詳細的伺服器被黑自查方案。
目前網站伺服器被攻擊的特征如下：
網站被攻擊：網站被跳轉到賭博網站，網站首頁被篡改，百度快照被改，網站被植入webshell腳本木馬，網站被DDOS、CC壓力攻擊。
伺服器被黑：伺服器系統中木馬病毒，伺服器管理者賬号密碼被改，伺服器被攻擊者遠端控制，伺服器的帶寬向外發包，伺服器被流量攻擊，ARP攻擊（目前這種比較少了，現在都是基于阿裡雲，百度雲，騰訊雲，西部數位等雲伺服器）
關于伺服器被黑我們該如何檢查被黑？
賬号密碼安全檢測：
首先我們要檢查我們伺服器的管理者賬号密碼安全，檢視伺服器是否使用弱密碼，比如123456.123456789,123123等等密碼，包括administrator賬号密碼，Mysql資料庫密碼，網站背景的管理者密碼，都要逐一的排查，檢查密碼安全是否達标。
再一個檢查伺服器系統是否存在惡意的賬号，以及新添加的賬号，像admin,admin$,這樣的賬号名稱都是由攻擊者建立的，隻要發現就可以大緻判斷伺服器是被黑了。檢查方法就是打開計算機管理，檢視目前的賬号，或者cmd指令下：net user檢視，再一個看系統資料庫裡的賬号。
通過伺服器日志檢查管理者賬号的登入是否存在惡意登入的情況，檢查登入的時間，檢查登入的賬号名稱，檢查登入的IP，看日志可以看680.682狀态的日志，逐一排查。
伺服器端口、系統程序安全檢測：
打開CMD netstat -an 檢查目前系統的連接配接情況，檢視是否存在一些惡意的IP連接配接，比如開放了一些不常見的端口，正常是用到80網站端口，8888端口，21FTP端口，3306資料庫的端口，443 SSL證書端口，9080 java端口，22 SSH端口，3389預設的遠端管理端口，1433 SQL資料庫端口。除以上端口要正常開放，其餘開放的端口就要仔細的檢查一下了，看是否向外連接配接。如下圖：
再一個檢視程序，是否存在惡意程序，像木馬後門都會植入到程序當中去。新手如果不懂如何檢視程序，可以使用工具，微軟的Process Explorer，還有剪刀手，最簡單的就是通過任務管理器去檢視目前的程序，像linux伺服器需要top指令，以及ps指令檢視是否存在惡意程序。一般如果被黑，可以從以下幾大方面判斷，CPU占用過高，有些程序沒有正式的簽名，程序的路徑不合法，不是系統目錄。
伺服器啟動項、計劃任務安全檢測：
伺服器的後門木馬清除
下載下傳360殺毒，并更新病毒庫，對伺服器進行全面的安全檢測與掃描，修複系統更新檔，對網站的代碼進行人工的安全檢測，對網站漏洞的檢測，網站木馬後門的檢測，也可以使用webshell清除工具來進行清除，最重要的是木馬規則庫。
網站日志，伺服器日志一定要提前開啟，開啟稽核政策，包括一些伺服器系統的問題，安裝的軟體出錯，管理者記錄檔，登入伺服器日志，以便友善後期出現伺服器被黑事件，可以進行分析查找并溯源。網站的日志也要開啟，IIS下開啟日志記錄，apache等環境請直接在配置檔案中進行日志的開啟與日志路徑配置。以上就是伺服器被黑，該如何的查找被黑的痕迹，下一篇會跟大家講如何更好的做好伺服器的安全部署。