在被黑的服务器中查找日志。

Question

我的服务器被黑了，黑客设法以 root 身份 ssh（我知道，我犯了可怕的错误）。

我应该寻找哪些文件来发现攻击的来源？（至少是他们的 IP）。

服务器真的很旧，它运行的是 Red Hat 9。不过里面没有任何重要的东西。

Answer 1

您应该查看 /var/log/auth.log，它通常包含 ssh 登录的记录。

但是除非攻击者真的很笨，否则他们会删除访问痕迹和/或不是来自可追溯的 IP。