黑客入侵网站的一般流程-黑客入侵网易

最新消息网易服务器被黑客攻击

如果服务器（网站）被入侵攻击了,一般都是服务器或者网站存在漏洞，被黑客利用并提权入侵的，导致服务器中木马，网站被挂黑链，被篡改，被挂马。解决办法：如果程序不是很大，可以自己比对以前程序的备份文件，然后就是修复，或者换个服务器，最好是独立服务器。也可以通过安全公司来解决，国内也就Sinesafe和绿盟等安全公司 比较专业.

我是从事IDC行业的.以上这些也是平时工作中经常遇到的问题.希望我的回答对你有所帮助.

163邮箱被改银行账户

邮箱被入侵了。163邮箱是中国早期的电子邮件服务商网易公司的经典之作，致力于向用户提供安全、稳定、快速、便捷的电子邮件服务，当这个邮箱被改成银行账户的时候，就说明是被黑客入侵了，这个时候是可以找到相关的部门举报的，来进行维护自己的权益。

近 3 年来，国内都有哪些比较严重的黑客入侵事件？

0、github 遭受来自我国加农大炮发出的DDOS攻击（百度担当了本次黑锅侠）

2015年3月份，攻击者劫持百度广告联盟的JS脚本并将其替换成恶意代码，最后利用访问中国网站的海外用户对GitHub发动大规模分布式拒绝服务攻击。

1、大陆境内所有通用顶级域遭DNS劫持（被Big Brother恶意Hack）

2014年1月21日，大陆境内所有通用顶级域（.com/.net/.org等）遭DNS劫持，所有域名均被指向一个位于美国的IP地址（65.49.2.178）。根据网络上资料显示，该IP地址属于美国Sophidea公司所有，而Sophidea公司的大客户之一就是著名的加密代理软件XX门的母公司。

2、Lizard Squad劫持联想域名，并泄露部分公司邮件

2014年2月25日，联想域名遭劫持，业内人士预测可能与联想近期收到的大量公开指责有关，该公司的电脑被捆绑了称为快鱼（Superfish）的加密广告程序，引起大量用户不满。在公众的压力下，联想最终决定删除软件，向受影响的用户道歉。

3、携程信息“安全门”事件敲响网络消费安全警钟

2014年3月22日，携程网被指出安全支付日志存在漏洞，导致大量用户银行卡信息泄露，电商如何对用户信息进行保护引发人们思考。

携程安全支付日志可遍历下载 导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)

4、温州地区有线电视大面积被黑，播放敏感反动内容

2014年8月1日，浙江省公安厅官方微博通报，温州有线电视网络系统市区部分用户的机顶盒遭黑客攻击，出现一些反动宣传内容，影响了群众正常收看电视，造成了不良影响。

5、江苏公安厅:海康威视监控设备有隐患 部分设备已经被境外IP地址控制

2015年2月28日，江苏省公安厅下达《关于立即对全省海康威视视频监控设备进行全面清查和安全加固通知》

6、Apache Struts2连续爆多个高危漏洞，影响国内数百万信息系统安全

2013 年 7 月的 Struts2 漏洞实际带来多大影响？ - Java

7、[心脏流血]OpenSSL “Heartbleed”漏洞

OpenSSL 的 Heartbleed 漏洞的影响到底有多大？ - 信息安全

8、[破壳]Shellshock漏洞

Shellshock的破坏性有多大？有哪些潜在的攻击方式？ - 互联网

9、[贵宾犬]Google发现SSL 3.0漏洞，让黑客有可乘之机

2014年10月17日，一个存在于 SSL 3.0 协议中的新漏洞于今日被披露。该漏洞被命名为“贵宾犬”（降级传统加密填充提示），通过此漏洞，第三方可以拦截通过采用 SSL 3.0 的服务器传输的重要信息。

10、阿里巴巴宣称遭受互联网有史以来最大的DDOS攻击

阿里云的安全产品是如何抵御互联网史上最大一次 DDoS 攻击的？ - 网络安全

11、网易全线线上服务遭受大规模DDOS攻击

2015 年 5 月 11 日，网易骨干网宕机是怎么回事？ - 计算机

13、chinanews被黑涂改首页

怎么看中新网网页被黑一事？ - 新闻

你不太清楚的用户数据泄露事件

仅公安部一年查获被盗取各类公民个人信息就有近50亿条，而这可能只是泄露信息一小部分，2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，小米828万，Adobe：1.5亿，Cupid Media：4200万，QQ数据库：大于6亿，福布斯：100万，索尼：1.016亿，机锋网：2000多万，接近10亿多条。

1、快递公司官网遭入侵 泄露1400万用户快递数据

2014年8月12日，警方破获了一起信息泄露案件，犯罪嫌疑人通过快递公司官网漏洞，登录网站后台，然后再通过上传(后门)工具就能获取该网站数据库的访问权限，获取了1400万条用户信息，除了有快递编码外，还详细记录着收货和发货双方的姓名、电话号码、住址等个人隐私信息。

2、机锋网2700万用户数据泄露

2015年1月5日上午，知名微博账号“互联网的那点事”发布消息称，机锋论坛2300万用户数据泄露，包含用户名、邮箱、加密密码在内的用户信息在网上疯传，提醒用户抓紧修改密码。

3、小米800万用户数据泄露

小米论坛被脱裤（数据与官方符合）可能影响小米移动云等敏感信息

4、130万考研用户信息被泄露

国内考研疑似130W报名信息泄漏事件（疑似泄漏到今年11月份，正在被黑产利用）

5、智联招聘86万条求职简历数据遭泄露

看我如何拿下智联招聘八十六万用户简历（包含姓名，地址，身份证，户口等等各种信息）

6、12306网站超13万用户数据遭泄露

大量12306用户数据在互联网疯传包括用户帐号、明文密码、身份证邮箱等（泄漏途径目前未知）

7、汉庭2000万开房记录遭泄露

由于安全漏洞问题，导致2000万条在2010年下半年至2013年上半年入住酒店的2000多万客户信息泄露。

网易公司服务器遭到黑客攻击是真的么？

恩，一些黑客会攻击网易公司的网站，她的连带服务器肯定会遭到攻击的

像网易这种网站他是怎样避免被黑客攻击的?

除了自身的硬件条件外,还需要对你的服务器做出安全设置控制,用2003系统来说下具体安全设置如下:

1、服务器安全设置之--硬盘权限篇

这里着重谈需要的权限，也就是最终文件夹或硬盘需要的权限，可以防御各种木马入侵，提权攻击，跨站攻击等。本实例经过多次试验，安全性能很好，服务器基本没有被木马威胁的担忧了。

硬盘或文件夹: C:\ D:\ E:\ F:\ 类推

主要权限部分：

Administrators 完全控制 无

该文件夹，子文件夹及文件

不是继承的

CREATOR OWNER 完全控制

只有子文件夹及文件

不是继承的

SYSTEM 完全控制

该文件夹，子文件夹及文件

不是继承的

其他权限部分：

如果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:\php的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把users的写删权限加上，运行权限不要，然后把虚拟主机用户的读权限拒绝即可。如果是mysql的话，用一个独立用户运行MYSQL会更安全，下面会有介绍。如果是winwebmail，则最好建立独立的应用程序池和独立IIS用户，然后整个安装目录有users用户的读/运行/写/权限，IIS用户则相同，这个IIS用户就只用在winwebmail的WEB访问中，其他IIS站点切勿使用

硬盘设置需要根据你的实际需要来设置权限！

2、服务器安全设置之--系统服务篇(设置完毕需要重新启动)

*除非特殊情况非开不可，下列系统服务要停止并禁用：

1、Alerter 2、Application Layer Gateway Service 3、

Background Intelligent Transfer Service

4、Computer Browser 5、Distributed File System 6、Help and Support 7、Messenger 8、NetMeeting Remote Desktop Sharing 9、Print Spooler 10、Remote Registry 11、Task Scheduler 12、TCP/IP NetBIOS Helper 13、Telnet 14、Workstation 以上是windows2003server标准服务当中需要停止的服务，作为IIS网络服务器，以上服务务必要停止，如果需要SSL证书服务，则设置方法不同。如果你装有虚拟主机系统，设置当然也不一样！更详细设置可以根据自己的需要找更详细的参考资料。

3、服务器安全设置之--组件安全设置篇 (非常重要！！！)

A、卸载WScript.Shell 和 Shell.application 组件，将下面的代码保存为一个.BAT文件执行（分2000和2003系统）

win2000

regsvr32/u C:\WINNT\System32\wshom.ocx

del C:\WINNT\System32\wshom.ocx

regsvr32/u C:\WINNT\system32\shell32.dll

del C:\WINNT\system32\shell32.dll

win2003

regsvr32/u C:\WINDOWS\System32\wshom.ocx

del C:\WINDOWS\System32\wshom.ocx

regsvr32/u C:\WINDOWS\system32\shell32.dll

del C:\WINDOWS\system32\shell32.dll

B、改名不安全组件，需要注意的是组件的名称和Clsid都要改，并且要改彻底了，不要照抄，要自己改

【开始→运行→regedit→回车】打开注册表编辑器

然后【编辑→查找→填写Shell.application→查找下一个】

用这个方法能找到两个注册表项：

{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。

第一步：为了确保万无一失，把这两个注册表项导出来，保存为xxxx.reg 文件。

第二步：比如我们想做这样的更改

13709620-C279-11CE-A49E-444553540000 改名为 13709620-C279-11CE-A49E-444553540001

Shell.application 改名为 Shell.application_nohack

第三步：那么，就把刚才导出的.reg文件里的内容按上面的对应关系替换掉，然后把修改好的.reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。

其实，只要把对应注册表项导出来备份，然后直接改键名就可以了。

WScript.Shell 和 Shell.application 组件是 脚本入侵过程中，提升权限的重要环节，这两个组件的卸载和修改对应注册键名，可以很大程度的提高虚拟主机的脚本安全性能，一般来说，ASP和php类脚本提升权限的功能是无法实现了，再加上一些系统服务、硬盘访问权限、端口过滤、本地安全策略的设置，虚拟主机因该说，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。下面是另外一种设置，大同小异。

一、禁止使用FileSystemObject组件

FileSystemObject可以对文件进行常规操作,可以通过修改注册表，将此组件改名，来防止此类木马的危害。

HKEY_CLASSES_ROOT\Scripting.FileSystemObject\

改名为其它的名字，如：改为 FileSystemObject_ChangeName

自己以后调用的时候使用这个就可以正常调用此组件了

也要将clsid值也改一下

HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值

也可以将其删除，来防止此类木马的危害。

2000注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll

2003注销此组件命令：RegSrv32 /u C:\WINDOWS\SYSTEM\scrrun.dll

如何禁止Guest用户使用scrrun.dll来防止调用此组件？

使用这个命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests

二、禁止使用WScript.Shell组件

WScript.Shell可以调用系统内核运行DOS基本命令

可以通过修改注册表，将此组件改名，来防止此类木马的危害。

HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\

改名为其它的名字，如：改为WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName

自己以后调用的时候使用这个就可以正常调用此组件了

也要将clsid值也改一下

HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值

HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值

也可以将其删除，来防止此类木马的危害。

三、禁止使用Shell.Application组件

Shell.Application可以调用系统内核运行DOS基本命令

可以通过修改注册表，将此组件改名，来防止此类木马的危害。

HKEY_CLASSES_ROOT\Shell.Application\

及

HKEY_CLASSES_ROOT\Shell.Application.1\

改名为其它的名字，如：改为Shell.Application_ChangeName 或 Shell.Application.1_ChangeName

自己以后调用的时候使用这个就可以正常调用此组件了

也要将clsid值也改一下

HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

也可以将其删除，来防止此类木马的危害。

禁止Guest用户使用shell32.dll来防止调用此组件。

2000使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests

2003使用命令：cacls C:\WINDOWS\system32\shell32.dll /e /d guests

注：操作均需要重新启动WEB服务后才会生效。

四、调用Cmd.exe

禁用Guests组用户调用cmd.exe

2000使用命令：cacls C:\WINNT\system32\Cmd.exe /e /d guests

2003使用命令：cacls C:\WINDOWS\system32\Cmd.exe /e /d guests

通过以上四步的设置基本可以防范目前比较流行的几种木马，但最有效的办法还是通过综合安全设置，将服务器、程序安全都达到一定标准，才可能将安全等级设置较高，防范更多非法入侵。

C、防止Serv-U权限提升 (适用于 Serv-U6.0 以前版本，之后可以直接设置密码)

先停掉Serv-U服务

用Ultraedit打开ServUDaemon.exe

查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P

修改成等长度的其它字符就可以了，ServUAdmin.exe也一样处理。

另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。

4、服务器安全设置之--IIS用户设置方法

不同站点使用不用的IIS用户。另外权限的设置要细致。

5、服务器安全设置之--服务器安全和性能配置

把下面文本保存为: windows2000-2003服务器安全和性能注册表自动配置文件.reg 运行即可。[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoRecentDocsMenu"=hex:01,00,00,00

"NoRecentDocsHistory"=hex:01,00,00,00

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

"DontDisplayLastUserName"="1"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

"restrictanonymous"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\Parameters]

"AutoShareServer"=dword:00000000

"AutoShareWks"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

"EnableICMPRedirect"=dword:00000000

"KeepAliveTime"=dword:000927c0

"SynAttackProtect"=dword:00000002

"TcpMaxHalfOpen"=dword:000001f4

"TcpMaxHalfOpenRetried"=dword:00000190

"TcpMaxConnectResponseRetransmissions"=dword:00000001

"TcpMaxDataRetransmissions"=dword:00000003

"TCPMaxPortsExhausted"=dword:00000005

"DisableIPSourceRouting"=dword:00000002

"TcpTimedWaitDelay"=dword:0000001e

"TcpNumConnections"=dword:00004e20

"EnablePMTUDiscovery"=dword:00000000

"NoNameReleaseOnDemand"=dword:00000001

"EnableDeadGWDetect"=dword:00000000

"PerformRouterDiscovery"=dword:00000000

"EnableICMPRedirects"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]

"BacklogIncrement"=dword:00000005

"MaxConnBackLog"=dword:000007d0

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AFD\Parameters]

"EnableDynamicBacklog"=dword:00000001

"MinimumDynamicBacklog"=dword:00000014

"MaximumDynamicBacklog"=dword:00007530

"DynamicBacklogGrowthDelta"=dword:0000000a

功能：可抵御DDOS攻击2-3万包，提高服务器TCP-IP整体安全性能（效果等于软件防火墙，节约了系统资源）

6、服务器安全设置之--IP安全策略 (仅仅列出需要屏蔽或阻止的端口或协议)

协议 IP协议端口 源地址 目标地址 描述 方式

ICMP -- -- -- ICMP 阻止

UDP 135 任何IP地址 我的IP地址 135-UDP 阻止

UDP 136 任何IP地址 我的IP地址 136-UDP 阻止

UDP 137 任何IP地址 我的IP地址 137-UDP 阻止

UDP 138 任何IP地址 我的IP地址 138-UDP 阻止

UDP 139 任何IP地址 我的IP地址 139-UDP 阻止

TCP 445 任何IP地址-从任意端口 我的IP地址-445 445-TCP 阻止

UDP 445 任何IP地址-从任意端口 我的IP地址-445 445-UDP 阻止

UDP 69 任何IP地址-从任意端口 我的IP地址-69 69-入 阻止

UDP 69 我的IP地址-69 任何IP地址-任意端口 69-出 阻止

TCP 4444 任何IP地址-从任意端口 我的IP地址-4444 4444-TCP 阻止

TCP 1026 我的IP地址-1026 任何IP地址-任意端口 灰鸽子-1026 阻止

TCP 1027 我的IP地址-1027 任何IP地址-任意端口 灰鸽子-1027 阻止

TCP 1028 我的IP地址-1028 任何IP地址-任意端口 灰鸽子-1028 阻止

UDP 1026 我的IP地址-1026 任何IP地址-任意端口 灰鸽子-1026 阻止

UDP 1027 我的IP地址-1027 任何IP地址-任意端口 灰鸽子-1027 阻止

UDP 1028 我的IP地址-1028 任何IP地址-任意端口 灰鸽子-1028 阻止

TCP 21 我的IP地址-从任意端口 任何IP地址-到21端口 阻止tftp出站 阻止

TCP 99 我的IP地址-99 任何IP地址-任意端口 阻止99shell 阻止

以上是IP安全策略里的设置，可以根据实际情况，增加或删除端口

7、服务器安全设置之--本地安全策略设置

安全策略自动更新命令：GPUpdate /force (应用组策略自动生效不需重新启动)

开始菜单—管理工具—本地安全策略

A、本地策略——审核策略

审核策略更改 成功 失败

审核登录事件 成功 失败

审核对象访问 失败

审核过程跟踪 无审核

审核目录服务访问 失败

审核特权使用 失败

审核系统事件 成功 失败

审核账户登录事件 成功 失败

审核账户管理 成功 失败

B、本地策略——用户权限分配

关闭系统：只有Administrators组、其它全部删除。

通过终端服务拒绝登陆：加入Guests、User组

通过终端服务允许登陆：只加入Administrators组，其他全部删除

C、本地策略——安全选项

交互式登陆：不显示上次的用户名 启用

网络访问：不允许SAM帐户和共享的匿名枚举 启用

网络访问：不允许为网络身份验证储存凭证 启用

网络访问：可匿名访问的共享 全部删除

网络访问：可匿名访问的命 全部删除

网络访问：可远程访问的注册表路径 全部删除

网络访问：可远程访问的注册表路径和子路径 全部删除

帐户：重命名来宾帐户 重命名一个帐户

帐户：重命名系统管理员帐户 重命名一个帐户

还有很多设置！你可以多找找资料！