如何处理服务器被攻击后的日志文件？
美国、香港服务器
如何处理服务器被攻击后的日志文件？
04-27 来源:
服务器被攻击后，日志文件完整处理方案（清理→留存→脱敏→加固）
一、核心原则（关键）
1. 不要直接全部删除日志：日志是入侵溯源、追责、排查漏洞的唯一证据；
2. 先备份留存取证，再清理垃圾 / 恶意残留；
3. 最后修复日志权限、防止黑客篡改、清空日志掩盖痕迹。

一、第一步：紧急备份【攻击原始日志】（必做）
先打包原始日志，防止删完无法溯源
1. 系统关键日志路径
Ubuntu
plaintext
/var/log/auth.log # SSH、登录、爆破记录
/var/log/syslog
/var/log/dmesg
/var/log/ufw.log # 防火墙日志
CentOS
plaintext
/var/log/secure # SSH、暴力破解、登录
/var/log/messages
/var/log/firewalld
网站 / 业务日志
plaintext
Nginx：/var/log/nginx/
Apache：/var/log/apache2/
宝塔面板：/www/server/panel/log/
2. 打包备份日志（压缩留存）
bash
运行
# 新建取证目录
mkdir -p
/opt/attack_log_backup
# 打包系统日志
tar -zcvf
/opt/attack_log_backup/var_log_attack.tar.gz /var/log/
# 打包网站日志（根据实际路径修改）
tar -zcvf
/opt/attack_log_backup/web_log.tar.gz /var/log/nginx/
备份包永久保留，用于复盘入侵入口、攻击 IP、漏洞点。
二、第二步：清理攻击产生的垃圾日志 & 恶意记录
只清无效垃圾、大量刷屏攻击日志，不要删系统基础日志文件
1. 清空大体积刷屏日志（CC / 爆破会塞满日志）
bash
运行
# 清空认证登录日志（爆破记录过多）
>
/var/log/auth.log
>
/var/log/secure
# 清空防火墙、系统日志
>
/var/log/ufw.log
>
/var/log/messages
⚠️ 用 > 清空，不要直接 rm 删除文件，避免系统日志写入报错。
2. 清理网站恶意访问日志
bash
运行
# 清空nginx访问/错误日志
>
/var/log/nginx/access.log
>
/var/log/nginx/error.log
3. 清理黑客遗留的临时日志 / 脚本
bash
运行
# 清理临时目录恶意碎片日志
rm -rf
/tmp/*.log /var/tmp/*.log /dev/shm/*
三、第三步：修复日志被篡改风险（黑客常用操作：抹除痕迹）
黑客入侵后常会：清空日志、篡改日志、删除登录记录需要锁定日志权限，防止二次篡改
1. 锁定关键日志文件（不可删除 / 不可修改）
bash
运行
# 锁定登录安全日志
chattr +i /var/log/auth.log
chattr +i /var/log/secure
# 锁定日志目录关键文件
chattr +i /var/log/messages
• chattr +i：只读锁定，root 也无法删除 / 修改
• 后续需要修改：chattr -i 文件名 解锁
2. 配置日志轮转（防止日志爆盘）
攻击会短时间产生 GB 级日志，开启自动切割压缩
bash
运行
# 查看logrotate配置
cat
/etc/logrotate.conf
系统默认开启，无需额外配置，自动按天切割、压缩、删除旧日志。
四、第四步：日志安全加固，防止后续被清空
1. 禁止普通用户操作日志目录
bash
运行
chmod 600
/var/log/*.log
chown
root:root /var/log/
仅 root 可读写日志，杜绝低权限木马篡改日志。
2. 开启远程日志（高级防抹除）
本地日志可被删除，重要服务器可配置：
• 远程 syslog 服务器
• 阿里云 / 腾讯云日志服务
实时同步日志，即使服务器被攻陷，攻击记录永久留存。
五、第五步：日志溯源分析（事后复盘）
备份好的日志，重点看这几项：
1. 大量 Failed password → 暴力破解来源 IP、攻击时间段
2. 陌生 IP 成功登录记录 Accepted password → 入侵入口
3. 网站 access.log 恶意请求：扫描、后门、漏洞利用路径
4. 防火墙日志：异常端口扫描、UDP/DDoS 发包记录
六、禁止黑客清空日志的常见手段
1. 锁定日志文件 chattr +i
2. 限制 /bin/rm、> 清空命令 滥用
3. 日志实时同步到云端 / 远程服务器
4. 定期手动导出日志备份
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
