本文目录一览：

• 1、Windows下哪rvv个文件夹最有可能出现黑客入侵痕迹？
• 2、如何验证自己电脑被黑
• 3、遭受黑客攻击后怎样查询被攻击了
• 4、如何跟踪发现黑客的举动

Windows下哪rvv个文件夹最有可能出现黑客入侵痕迹？

1. 异常的日志记录

通常我们需要检查一些可疑的事件记录, 比如:

除此之外, 还可以看看有没有大量失败的登录日志或者被锁定的账户.

查看事件日志有两种方式:

1) 通过图形界面查看, 开始-运行 eventvwr.msc

2) 通过命令行查看, 主要是使用eventquery.vbs脚本:

或者只看某个条目下的日志:

eventquery.vbs是使用可以查看命令行帮助或者微软的官方文档.

2. 异常的进程和服务

即在我们熟知的Windows任务管理器中查看是否有奇怪的进程在运行, 重点关注用户名是SYSTEM(系统)或者Administrator(管理员), 以及在管理员组的用户.当然, 你最好能熟悉正常的进程和服务, 不然也不知道某个进程是不是"异常"的. 如果不熟悉也不要紧, 对着任务管理器不认识的进程, 挨个google一遍也就能大概了解了.

查找异常进程

使用Ctrl+Alt+Del快捷键或者开始-运行taskmgr.exe打开任务管理器即可看到运行中的进程. 当然也可以使用命令行查看进程:

查找异常服务

1). 图形界面: 开始-运行 services.msc

2). 命令行:

C: net startC: sc query

查找和每个进程关联的服务:

3. 异常的文件和注册表

如果磁盘可用空间突然减小, 我们可以查找文件看是否有异常. 通过开始菜单依次点击:

然后设置查找选项, 比如文件大小大于10000KB, 或者创建/修改时间在一周以内, 并搜索相关文件.

对于注册表, 通常是查找自启动的注册点, 并检查对应的应用程序, 常见的启动点为:

注: HKLM和HKCU分别是HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER的缩写.

查看注册表有两种方式:

1) 图形界面: 开始-运行 regedit.exe

2) 命令行reg query key, 例:

当然除此之外还有很多注册点可以进行自启动, 这个在下面说.

4. 异常的计划任务

接下来是查看异常的计划任务, 重点关注那些以管理员组或者SYSTEM权限, 或者是以空白用户名定时启动的任务.

查看定时任务

1) 图形界面, 可以通过开始菜单搜索Task Scheduler打开, 或者:

2) 命令行输出计划任务:

查看自启动程序

1) 图形界面, 开始-运行 msconfig.exe

2) 命令行:

其他自启动入口

要注意的是, msconfig这些命令只是列出了部分开机自动启动的程序, Windows开机自启动的方式很多, 包括劫持系统程序/动态运行库等方式,其中涉及到许多注册表入口, 感兴趣的朋友可以查看网上的其他文章.

5. 异常的网络流量

常用的网络相关自检命令:

检查防火墙配置:

C: netsh firewall show config

查看共享文件, 检查是否是主动分享的:

C: net view \127.0.0.1

查看本机活跃的会话:

C: net session

查看本机对其他系统打开的会话:

C: net use

查看NetBIOS over TCP/IP 的激活状态:

C: nbtstat -S

查看当前网络连接和监听情况:

C: netstat -na

持续输出上述信息, 每3秒刷新一次:

C: netstat -na 3

查看网络连接对应的进程id(-o)和进程名字(-b)

C: netstat -naob

注: netstat -b 除了显示进程名字, 还显示了进程所加载的DLL信息, 所以持续输出的话会消耗比较多的CPU资源. 对于其他选项, 可以通过netstat -h查看帮助.

6. 异常帐号

重点查看新添加进管理员组的帐号.

1) 图形界面方式:

然后查看里面的用户列表.

2) 命令行方式:

如何验证自己电脑被黑

1。把网线拔了看看还卡不卡。如果还卡，证明不是被远程控制。

2。如果还卡，证明你中毒了或者有其他原因，垃圾文件，不必要的启动项和服务等。

3。删除sdo用户。

4。用360安全卫士联网查杀木马，清理垃圾、不必要的启动项、服务。用超级兔子清理注册表。

还卡的话建议换Win7吧。下载Win7：

一、查电脑有没有被控制过

控制面板-管理工具-事件查看器，然后你去看看自己的电脑有没有被黑过留下的痕迹。入侵者在入侵并控制系统之前，往往会用扫描工具或者手动扫描的方法来探测系统，以获取更多的信息。

而这种扫描行为都会被系统服务日志记录下来。如，一个 IP 连续多次呈现在系统的各种服务日志中，或一个 IP 连续多次在同一系统多个服务建立了空连接，这很有可能是入侵者在搜集某个服务的版本信息。

二、现在电脑是否被控制

1、按Ctrl +Alt+ Del,打开任务管理器，查看“进程” 里有没有特别的进程，如有结束它。

2、观察任务栏上的两个小电脑图标 ，看它是否持续闪烁，点开观察数据流量，一般被监控的电脑都有大量的数据流量产生。

3、注意一些常用的东西有没有被修改 ，使用 QQ、360、迅雷、网络电视等有无异常 ，如有要马上拨下网线，用查杀木马软件查杀。

三、被黑处理

1、用360安全卫士，查杀。

2、还原或重装系统。

3、如果你用的帐号密码被盗，赶紧修改帐号密码。

四、防止黑客入侵

1、及时360安全卫士、QQ医生、金山毒霸等,更新Windows安全补丁。

2、安装360安全卫士、瑞星杀毒软件、瑞星个人防火墙、金山毒霸、江民、天网等防火墙和反病毒软件，并实时更新病毒库。

3、密码不要太过于简单，建议用户使用位数大于6位、有字母和数字交替组成的复杂密码，可以增加猜中和破解难度，保障您的密码安全。

4、关闭磁盘共享

也就是C、D、E、F、G、H 等 。

开始－运行 输入cmd回车，在cmd输入 net share c$ /delete （ 再把C换D ，依次下去。 也可在我的电脑窗口,右击磁盘盘符,从级联菜单中选”共享”设置关闭磁盘共享。

5、关闭远程访问

右击我的电脑-属性 －远程，去掉“允许远程用户访问此计算机”前面的勾选。

6、关掉一些完全没必要的服务

右键单击“我的电脑(计算机)”-“管理”-“服务和应用程序”-“服务”，在右窗格将不需要的服务设为禁用，将不经常使用的服务设为手动。

7、在使用中注意，不要随便打开来历不明的网站，也不要随便接收来历不明的邮件等；运行可执行文件一定要经过严格的检验，切勿随便打开来历不明的可执行文件。

其实你可以选择最简单的方法，这里有两种：第一是，先下载个流量控制软件（360安全卫士有附带的），在不打开任何软件及没有更新的情况下查看是否有下载和上传流量。如果有的话，那么你中奖了。第二种，你可以打开进程管理器（Ctral+Alt+Del）,把所有的应用进程全删了后，停一两秒后首先蹦出的进程及时被黑的程序。

自己电脑被黑:前几天，我的电脑被黑，情况==ie窗口开几十个，而且，关不了；电脑重启后，用windows优化大师==自动恢复（xp系统）处理完毕；我的电脑安装360，没有其它杀毒软件；

观察你的电脑，出现以下状况，基本是是被黑了。被黑后用各种软件杀病毒（注意：不要在电脑上同时安装2个杀毒软件，否则电脑很可能比蜗牛还慢，用一个后卸载，然后安装另一个再查杀）。

遭受黑客攻击后怎样查询被攻击了

安全总是相对的，再安全的服务器也有可能遭受到攻击。作为一个安全运维人员，要把握的原则是：尽量做好系统安全防护，修复所有已知的危险行为，同时，在系统遭受攻击后能够迅速有效地处理攻击行为，最大限度地降低攻击对系统产生的影响。

一、处理服务器遭受攻击的一般思路

系统遭受攻击并不可怕，可怕的是面对攻击束手无策，下面就详细介绍下在服务器遭受攻击后的一般处理思路。

1.切断网络

所有的攻击都来自于网络，因此，在得知系统正遭受黑客的攻击后，首先要做的就是断开服务器的网络连接，这样除了能切断攻击源之外，也能保护服务器所在网络的其他主机。

2.查找攻击源

可以通过分析系统日志或登录日志文件，查看可疑信息，同时也要查看系统都打开了哪些端口，运行哪些进程，并通过这些进程分析哪些是可疑的程序。这个过程要根据经验和综合判断能力进行追查和分析。下面的章节会详细介绍这个过程的处理思路。

3.分析入侵原因和途径

既然系统遭到入侵，那么原因是多方面的，可能是系统漏洞，也可能是程序漏洞，一定要查清楚是哪个原因导致的，并且还要查清楚遭到攻击的途径，找到攻击源，因为只有知道了遭受攻击的原因和途径，才能删除攻击源同时进行漏洞的修复。

4.备份用户数据

在服务器遭受攻击后，需要立刻备份服务器上的用户数据，同时也要查看这些数据中是否隐藏着攻击源。如果攻击源在用户数据中，一定要彻底删除，然后将用户数据备份到一个安全的地方。

5.重新安装系统

永远不要认为自己能彻底清除攻击源，因为没有人能比黑客更了解攻击程序，在服务器遭到攻击后，最安全也最简单的方法就是重新安装系统，因为大部分攻击程序都会依附在系统文件或者内核中，所以重新安装系统才能彻底清除攻击源。

6.修复程序或系统漏洞

在发现系统漏洞或者应用程序漏洞后，首先要做的就是修复系统漏洞或者更改程序bug，因为只有将程序的漏洞修复完毕才能正式在服务器上运行。

7.恢复数据和连接网络

将备份的数据重新复制到新安装的服务器上，然后开启服务，最后将服务器开启网络连接，对外提供服务。

二、检查并锁定可疑用户

当发现服务器遭受攻击后，首先要切断网络连接，但是在有些情况下，比如无法马上切断网络连接时，就必须登录系统查看是否有可疑用户，如果有可疑用户登录了系统，那么需要马上将这个用户锁定，然后中断此用户的远程连接。

1.登录系统查看可疑用户

通过root用户登录，然后执行“w”命令即可列出所有登录过系统的用户，如下图所示。

通过这个输出可以检查是否有可疑或者不熟悉的用户登录，同时还可以根据用户名以及用户登录的源地址和它们正在运行的进程来判断他们是否为非法用户。

2.锁定可疑用户

一旦发现可疑用户，就要马上将其锁定，例如上面执行“w”命令后发现nobody用户应该是个可疑用户（因为nobody默认情况下是没有登录权限的），于是首先锁定此用户，执行如下操作：

[root@server ~]# passwd -l nobody锁定之后，有可能此用户还处于登录状态，于是还要将此用户踢下线，根据上面“w”命令的输出，即可获得此用户登录进行的pid值，操作如下：

[root@server ~]# ps -ef|grep @pts/3 531 6051 6049 0 19:23 ? 00:00:00 sshd: nobody@pts/3 [root@server ~]# kill -9 6051这样就将可疑用户nobody从线上踢下去了。如果此用户再次试图登录它已经无法登录了。

3.通过last命令查看用户登录事件

last命令记录着所有用户登录系统的日志，可以用来查找非授权用户的登录事件，而last命令的输出结果来源于/var/log/wtmp文件，稍有经验的入侵者都会删掉/var/log/wtmp以清除自己行踪，但是还是会露出蛛丝马迹在此文件中的。

三、查看系统日志

查看系统日志是查找攻击源最好的方法，可查的系统日志有/var/log/messages、/var/log/secure等，这两个日志文件可以记录软件的运行状态以及远程用户的登录状态，还可以查看每个用户目录下的.bash_history文件，特别是/root目录下的.bash_history文件，这个文件中记录着用户执行的所有历史命令。

四、检查并关闭系统可疑进程

检查可疑进程的命令很多，例如ps、top等，但是有时候只知道进程的名称无法得知路径

如何跟踪发现黑客的举动

如果当你受到黑客攻击之后，都很想搞清楚自哪里，是什么人在攻击自己，这样我们就可以有针对性的进行黑客的防范工作。那么如何才能作到这一点呢？这就需要我们对黑客进行追踪，并把黑客的老底给“掏”出来，这其中有很多门道，实现起来也有一定的难度。本章针对普通用户的防黑需求介绍了从发现黑客入侵到追踪黑客的各种方法，目的是让读者读完本章之后对追踪黑客的技术有个大致的了解，读完本章之后，你会发现追踪黑客是很吸引人的事情。

如何发现黑客入侵

及时发现黑客入侵对于能否成功地进行追踪是至关重要的，但很多的黑客入侵事件并不为人们所知，因为黑客入侵有时持续的时间很短，在人们还没有发觉的时候攻击就已经结束了。而且比较高明的黑客在入侵完成后还要隐藏或删除自己入侵的痕迹，所以如果发现得晚，黑客可能把一些日志等相关的文档删掉了，给追踪带来很大的难度。

本文中首先以CA的eTrust Intrusion Detection（入侵检测系统）为例，介绍关于专业入侵检测系统的知识，然后再介绍没有入侵检测系统的时候如何来发现黑客入侵。