本文目录一览：
- 1、网站被入侵后如何解决
- 2、ip地址跳转后如何溯源
- 3、“网站被黑”如何处理
- 4、做溯源网站需要用到什么技术，我是计算机专业的研究生，想要研究其中的技术，但不知从何做起
- 5、入侵检测系统的优缺点有哪些?
网站被入侵后如何解决
怎么及时地发现黑客的入侵，找到入侵者并采取有效的解决措施是非常关键的。 如何发现入侵者 系统被入侵而全无知晓恐怕是最糟糕的事情了，下面就将以UNIX系统为例告诉你如何在分析 *** 异常现象的基础上确定你的 *** 系统是否有入侵者。 异常的访问日志 入侵者在入侵并控制系统之前，往往会用扫描工具或者手动扫描的 *** 来探测系统，以获取更多的信息。而这种扫描行为都会被系统服务日志记录下来。比如：一个IP连续多次出现在系统的各种服务日志中，并试图越漏洞;又如一个IP连续多次在同一系统多个服务建立了空连接，这很有可能是入侵者在搜集某个服务的版本信息。 注意!在 UNIX 操作系统中如果有人访问了系统不必要的服务或者有严重安全隐患的服务比如：finger、rpc;或者在 Telnet、FTP、POP3 等服务日志中连续出现了大量的连续性失败登录记录，则很有可能是入侵者在尝试猜测系统的密码。这些都是攻击的前兆! *** 流量增大 如果发现服务器的访问流量突然间增大了许多，这就预示着你的系统有可能已经被入侵者控制，并被入侵用来扫描和攻击其他的服务器。事实证明，许多入侵者都是利用中介主机对远程主机进行扫描并找出安全漏洞，然后再进行攻击的。而这些行为都会造成 *** 流量突然增大。 非法访问 如果你发现某个用户试图访问控制并修改/etc/shadow、系统日志和系统配置文件，那么很有可能这个用户已经被入侵者控制，并且试图夺取更高的权限。 正常服务终止 比如系统的日志服务突然奇怪的停掉，或你的IDS程序突然终止，这都暗示着入侵者试图要停掉这些有威胁的服务，以避免在系统日志上留下“痕迹”。 可疑的进程或非法服务的出现 系统中任何可疑的进程都应该仔细检查，比如以root启动的http服务，或系统中本来关闭的服务又重新被启动。这些可疑进程和服务都有可能是入侵者启动的攻击进程、后门进程或Sniffer进程。 系统文件或用户 者通常会更改系统中的配置文件来逃避追查，或者加载后门、攻击程序之类的软件以方便下次进入。比如对于UNIX而言，入侵者或修改syslog.conf文件以去掉secure的条目来躲避login后门的审计，或修改hosts.deny、hosts.allow来解除tcpwrapper对入侵者IP的过滤;甚至增加一个条目在rc.d里面，以便系统启动的时候同时启动后门程序。所以被非法修改的系统文件或莫明其妙地增加了一个用户等一些现象都意味着你的系统很可能被入侵者控制了。
ip地址跳转后如何溯源
溯源思路：
1、攻击源捕获
安全设备报警，如扫描IP、威胁阻断、病毒木马、入侵事件等
日志与流量分析，异常的通讯流量、攻击源与攻击目标等
服务器资源异常，异常的文件、账号、进程、端口，启动项、计划任务和服务等
邮件钓鱼，获取恶意文件样本、钓鱼网站URL等
蜜罐系统，获取攻击者行为、意图的相关信息
2、溯源反制手段
2.1 IP定位技术
根据IP定位物理地址— *** IP
溯源案例：通过IP端口扫描，反向渗透服务器进行分析，最终定位到攻击者相关信息
2.2 ID追踪术
ID追踪术，搜索引擎、社交平台、技术论坛、社工库匹配
溯源案例：利用ID从技术论坛追溯邮箱，继续通过邮箱反追踪真实姓名，通过姓名找到相关简历信息
2.3 网站url
域名Whois查询—注册人姓名、地址、 *** 和邮箱。—域名隐私保护
溯源案例：通过攻击IP历史解析记录/域名，对域名注册信息进行溯源分析
2.4 恶意样本
提取样本特征、用户名、ID、邮箱、C2服务器等信息—同源分析
溯源案例：样本分析过程中，发现攻击者的个人ID和 *** ，成功定位到攻击者。
2.5 社交账号
基于 *** ONP跨域，获取攻击者的主机信息、浏览器信息、真实 IP及社交信息等
利用条件：可以找到相关社交网站的jsonp接口泄露敏感信息，相关网站登录未注销
3、攻击者画像
3.1 攻击路径
攻击目的：拿到权限、窃取数据、获取利益、DDOS等
*** *** ： *** IP、跳板机、C2服务器等
攻击手法：鱼叉式邮件钓鱼、Web渗透、水坑攻击、近源渗透、社会工程等
3.2 攻击者身份画像
虚拟身份：ID、昵称、网名
真实身份：姓名、物理位置
联系方式：手机号、qq/微信、邮箱
组织情况：单位名称、职位信息
“网站被黑”如何处理
很多网站都遇到过被黑，插入恶意代码的经历。要很好地应对网站入侵还需要关键的几步：
下载服务器日志。
当发现网站被黑以后，首先要做的就是下载日志文件，包括服务器日志和ftp传输日志，服务器的日志位置一般是位于c:\windows\system32\logfiles\w3svc1。ftp日志则取决于服务器所安装的ftp软件，比如serve-u默认是在安装目录下。对于虚拟主机用户。一般空间提供商都会提供3天之内的日志以及1个月的ftp日志下载，具体可以咨询服务商。
替换所有恶意代码
进行下载日志的同时，应该开始删除恶意代码，以免影响用户体验。如果拥有服务器权限，推荐把恶意插入的代码批量替换掉。如果使用虚拟主机，有部分虚拟主机提供批量替换功能。这项操作要谨慎点，因为是对内容直接进行替换，稍微一马虎可能让网页内容面目全非。所以一定先做好相关备份。
下载到本地杀毒，或者服务端杀毒
接下来，要开始找出入侵的幕后黑后了。记住，发现病毒先不要忙着删除。如果拥有个人服务器，可以开启杀毒软看看，如果是使用虚拟主机可以下载到本地，用杀毒软件杀。发现病毒以后不要忙着杀掉。查看病毒文件修改时间。搜索刚修改时间，检查这段时间建立或者修改了什么文件。
根据日志的提示修改漏洞页面，字符串参数过滤单引号，数字参数格式化为数字类型。在查询分析器使用sp_dropextendedproc ‘xp_dirtree‘删除掉它，同时删除掉其他的一些危险的存储过程。
修改ftp密码，超级管理员密码，3389登陆端口，用户名，密码。接着就是善后了。对方如果已经入侵了站点，这些密码都不再是密码，因此最保险的做法就是全部改掉。
将ip，入侵时间，日志提交给当地网警。查询对方网站所用ip，打 *** 到对方网站所在地的通信管理局投诉，一定要报案，需要保存对方入侵的日志，还有ip提供给警方。同时，如果对方插入了恶意代码里面包含网址，可以向信息产业部报案，可以打 *** 到网站所在地的通信管理局投诉。
网站隐患漏洞，修补预防，需要很多专业的知识，也不仅仅是知识，还需要大量的经验积累，所以从做网站到维护网站维护服务器，尽可能找专业的技术人员或团队协助。
做溯源网站需要用到什么技术，我是计算机专业的研究生，想要研究其中的技术，但不知从何做起
从生产端开始，为每个销售单体赋唯一身份码，可能需要的设备有激光机、喷码机、条码打印机、自动贴标机等
入侵检测系统的优缺点有哪些?
入侵检测系统的优点：
1.能够使现有的安防体系更完善。
2.能够更好地掌握系统的情况。
3.能够追踪攻击者的攻击线路。
4.界面友好，便于建立安防体系。
5.能够抓住肇事者。
入侵检测系统的缺点：
1. 不能够在没有用户参与的情况下对攻击行为展开调查。
2. 不能够在没有用户参与的情况下阻止攻击行为的发生。
3. 不能克服 *** 协议方面的缺陷。
4.不能克服设计原理方面的缺陷。
5. 响应不够及时，签名数据库更新得不够快。
6.经常是事后才检测到，适时性不好。