Windows快速排查系统是否被黑-

一、Windows

[v_blue]1.存在隐藏用户或异常用户[/v_blue]

以Windows为例，右键计算机 -> 管理 -> 查看本地用户和组，如果用户或用户组带有$符号，说明该用户/用户组被隐藏，很有可能被黑了。
如下截图

[v_blue]2.异常进程[/v_blue]

通过任务管理器查看是否存在异常进程，比如phpstudy被黑后可能存在12345.exe这类数字开头的进程。或者一些temp临时文件以管理员身份运行

[v_tips]如果用户安装了phpstudy查看有某些数字进程 [/v_tips]

[v_blue]3.异常脚本或可执行文件[/v_blue]

可以检查Windows常见的几个系统目录，比如C:\Windows、C:\Windows\System32，大量异常脚本，或可执行文件。
http://www.west.cn/Customercenter/UploadImages/houtai/image/201612/14

[v_blue]4.异常进程占用CPU[/v_blue]
注意进程描述，运行用户是否使用了

system/administrator

权限较高的用户。

[v_error]Windows安全建议[/v_error]

[v_warn]修改默认远程连接端口
不使用弱密码
不安装来历不明的软件（比如xx破解版、xx绿色版）
安装必要的杀毒软件
普通账户运行mysql、mssql；尽量避免system或管理员运行
尽量关闭数据库远程
通过官方update及时更新系统补丁[/v_warn]
[v_error]总结[/v_error]
[v_warn]查看Windows用户和组是否异常
任务管理器查看是否有占用较高的进程、异常进程
查看常见的目录如C:\Windows是否有异常脚本或可执行文件
检查事件查看器是否有异常用户/异常IP登录
windows进程中PID值0-999为系统进程。[/v_warn]

使用iotop从进程纬度查看磁盘IO负载

iotop是一个用来监视磁盘I/O使用状况的top类工具，可以从进程纬度查看磁盘IO负载。

执行如下命令，安装iotop。
```
yum install iotop
```
执行如下命令，查看I/O负载。
```
iotop -k -n 5 -d 3
```
说明
- -b：记录到日志。
- -k：以KB为单位显示。
- -n：统计次数。
- -d：统计时间间隔。
显示结果如下。

显示结果参数说明如下，更多参数说明，可执行iotop -h查询。
- DISK READ：该进程读I/O带宽。
- DISK WRITE：该进程写I/O带宽。
- SWAPIN：磁盘的交换使用率。
- IO：该进程的 I/O 利用率，包含磁盘和交换。

使用sar工具查看实例各资源使用情况

使用htop查看系统内各进程负载情况

sar是System Activity Reporter（系统活动情况报告）的缩写，sar工具对系统状态进行取样后，通过计算数据和比例来表达系统当前的运行状态。其特点是可以连续对系统取样，获得大量的取样数据。其取样数据和分析结果可以存入文件，所需的负载很小。

sar是Linux系统中较为全面的性能分析工具，可以从多个方面对系统的活动进行监控和报告，包括文件读写情况、系统调用使用情况、串口、CPU效率、内存使用情况、进程活动及IPC（Inter-Process Communication，进程间通信）等。

安装sar工具

如果您的ECS实例中默认未安装sar工具，可参考如下步骤进行安装。

使用VNC连接Linux系统的ECS实例。

具体操作，请参见使用VNC登录实例。
执行如下命令，安装sar工具。
```
yum install sysstat
```
执行如下命令，启动sysstat服务。
```
systemctl start sysstat
```
执行如下命令，查看sysstat服务状态。
```
systemctl status sysstat
```
当返回系统中出现Active: active (exited)表示sysstat服务已启动。

查看CPU使用率

查看队列长度和CPU平均负载

查看磁盘使用情况

查看内存负载

查看I/O负载

查看swap分区页面交换情况

执行如下命令，查看CPU负载。

sar -u 1 5   #每隔一秒刷新，刷新5次

系统显示类似如下。

Linux 3.10.0-123.9.3.el7.x8664 (iZ23pddtofdZ)     07/04/2016     _x86_64    (1 CPU)
10:16:35 AM     CPU     %user     %nice   %system   %iowait    %steal     %idle
10:16:36 AM     all     14.14      0.00      1.01      0.00      0.00     84.85
10:16:37 AM     all     14.14      0.00      0.00      1.01      0.00     84.85
10:16:38 AM     all      0.00      0.00      1.01      0.00      0.00     98.99
10:16:39 AM     all      0.00      0.00      0.00      0.00      0.00    100.00
10:16:40 AM     all      1.00      0.00      0.00      0.00      0.00     99.00
Average:        all      5.86      0.00      0.40      0.20      0.00     93.54

显示结果主要字段说明

%user：用户模式下消耗的CPU时间比例。
%nice：通过nice改变了进程调度优先级的进程，在用户模式下消耗的CPU时间比例。
%system：系统模式下消耗的CPU时间比例。
%iowait：CPU等待磁盘I/O导致空闲状态消耗的时间比例。
%steal：利用Xen等操作系统虚拟化技术，等待其它虚拟CPU计算占用的时间比例。
%idle：CPU空闲时间百分比。

常见sar命令参数

sar命令的参数说明如下，区分大小写。

-A：汇总所有的报告。
-a：报告文件读写使用情况。
-B：报告附加缓存的使用情况。
-b：报告缓存的使用情况。
-c：报告系统调用的使用情况。
-d：报告磁盘的使用情况。
-g：报告串口的使用情况。
-h：报告关于buffer使用的统计数据。
-m：报告IPC消息队列和信号量的使用情况。
-n：报告命名cache的使用情况。
-p：报告调页活动的使用情况。
-q：报告运行队列和交换队列的平均长度。
-R：报告进程的活动情况。
-r：报告没有使用的内存页面和硬盘块。
-u：报告CPU的利用率。
-v：报告进程、i节点、文件和锁表状态。
-w：报告系统交换活动状况。
-y：报告TTY设备活动状况。

本文介绍使用第三方SSH客户端远程连接Linux实例时，提示“No supported authentication methods available (server sent: publickey,gssapi-keyex,gssapi-with-mic)”错误的问题原因和解决方案。

问题现象

当您使用第三方SSH客户端远程连接Linux系统的ECS实例时，输入了正确的账号和密码，但是还是出现类似以下错误信息。

Permission denied (publickey,gssapi-keyex,gssapi-with-mic)

sshd[10826]: Connection closed by XX.XX.XX.XX

No supported authentication methods available (server sent: publickey,gssapi-keyex,gssapi-with-mic)

putty fatal error

问题原因

使用密码或密钥登录都可能出现该问题，具体说明如下：

使用密码登录出现该问题：可能是ECS实例内禁止用户使用密码方式连接，您可以将PasswordAuthentication参数值修改为yes以解决此问题。具体操作，请参见方案一：允许使用密码方式登录。
使用密钥登录出现该问题：可能是ECS实例内禁止了密钥登录或SSH密钥对的公钥未加入对应用户.ssh/authorized_keys中，您可以检查/etc/ssh/sshd_config文件或重新上传公钥到authorized_keys文件中以解决此问题。具体操作，请参见方案二：复制公钥到authorized_keys文件。

方案一：允许使用密码方式登录

以VNC方式登录ECS实例。

具体操作，请参见通过密码认证登录Linux实例。
查看/etc/ssh/sshd_config的参数PasswordAuthentication配置是否有误。
```
sudo cat /etc/ssh/sshd_config
```
如下图所示，PasswordAuthentication参数设置为no，表示禁止以密码方式登录，需要修改为yes。
将PasswordAuthentication no修改为PasswordAuthentication yes。
1. 打开SSH配置文件。
```
sudo vim /etc/ssh/sshd_config
```
2. 将PasswordAuthentication no修改为PasswordAuthentication yes。
3. 按Esc键，输入:wq保存修改。
执行如下命令，重启SSH服务。
```
sudo systemctl restart sshd.service
```
重新远程连接Linux实例，如果可以正常连接，说明问题已解决。

方案二：复制公钥到`authorized_keys`文件

以VNC方式登录ECS实例。

具体操作，请参见通过密码认证登录Linux实例。
查看/etc/ssh/sshd_config的参数PubkeyAuthentication配置是否有误。
```
sudo cat /etc/ssh/sshd_config
```
- 当PubkeyAuthentication参数为yes时，说明可能是SSH密钥对的公钥未加入对应用户.ssh/authorized_keys中，请执行步骤4。
- 当PubkeyAuthentication参数为no，表示禁止以密钥方式登录，需要修改为yes。请执行步骤3。
将PubkeyAuthentication no修改为PubkeyAuthentication yes。
1. 打开SSH配置文件。
```
sudo vim /etc/ssh/sshd_config
```
2. 将PubkeyAuthentication no修改为PubkeyAuthentication yes。
3. 按Esc键，输入:wq保存修改。
4. 执行如下命令，重启SSH服务。
```
sudo systemctl restart sshd.service
```
复制公钥到authorized_keys文件。
1. 执行如下命令，打开authorized_keys文件。
```
sudo vim /home/user/.ssh/authorized_keys
```
  说明
  
  /home/user请替换成实际的用户。
2. 按i键进入编辑模式。
3. 将本地保存的公钥粘贴到authorized_keys文件中。
4. 按Esc键，输入:wq退出编辑模式。
重新远程连接Linux实例，如果可以正常连接，说明问题已解决。

参数	说明
选择云盘	选择需要创建快照的云盘，可以是系统盘或数据盘。
快照名称	设置快照的名称。
保留时间	设置快照的保留天数，可以选择永久保留或者自定义保留天数。快照超过保留时间后，将被系统自动删除。说明当快照的保留时间还剩3天时，快照列表的保留时间列会高亮提示xx天后自动释放。如果您选择了自定义保留天数，快照创建完成后，您可以延长快照保留时间。具体操作，请参见延长快照保留时间。
极速可用	仅ESSD PL0/1/2/3云盘和ESSD AutoPL云盘默认开启极速可用功能，其他云盘不支持该参数。更多信息，请参见快照极速可用能力。
标签	设置标签，将快照归类，便于搜索与批量操作。
资源组	设置资源组，对快照进行分级管理。

相关推荐

评论 抢沙发

腾讯云最热活动

热门文章

快讯

腾讯云精选特惠 用云无忧_腾讯云优惠活动

腾讯云推出大促优惠活动：

免费领取3150元代金券礼包；云服务器、云数据库、COS等上云必备产品，

低至1.8折起；云产品助力企业和开发者轻松上云

腾讯云linux系统 initramfs 或 initrd 损坏/丢失

现象描述

可能原因

故障处理

如何查看Linux系统I/O负载情况？

查看磁盘I/O负载

kjournald进程占用I/O资源高问题

问题描述

问题原因

解决方案

I/O性能优化：通过4K对齐提高I/O性能

Linux实例负载高问题排查和异常处理

问题描述

问题排查

安装sar工具

常见sar命令参数

提示“No supported authentication methods available (server sent: publickey,gssapi-keyex,gssapi-with-mic)”错误的问题原因和解决方案

问题现象

问题原因

方案一：允许使用密码方式登录

方案二：复制公钥到authorized_keys文件

阿里云服务器创建快照备份云盘数据

前提条件

注意事项

操作步骤

更好的服务器推荐选择

本站主要用于阿里云、腾讯云、华为云服务器活动的推荐及优惠购买方式、并搜集服务器运维的日常解决方案！

觉得文章有用就打赏一下文章作者

非常感谢你的打赏，我们将继续提供更多优质内容，让我们一起创建更加美好的网络世界！

支付宝扫一扫

微信扫一扫

切换注册登录

切换登录注册

评论抢沙发

腾讯云精选特惠用云无忧_腾讯云优惠活动

方案二：复制公钥到`authorized_keys`文件