許多用戶使用 Linux 伺服器，但網路環境不平靜，惡意攻擊頻發。朋友常遇伺服器被黑問題，經搜集整理相關材料，提供 Linux 伺服器被黑解決方法。
若安裝所有正確補丁、擁有測試過的防火牆、多層級啟用先進入侵偵測系統，唯一被黑情況是：你太懶，沒做該做的事（如安裝 BIND 最新補丁）。
一不留神被黑讓人為難，腳本小子還下載已知「rootkit」或流行偵探工具，佔用 CPU、記憶體、資料、頻寬。壞人從 rootkit 入手。
Rootkit 是軟體包，駭客用它獲取對你機器的 root 級存取權限。一旦駭客以 root 身份存取，一切結束。唯一能做：最快效率備份資料、清理硬碟、重裝作業系統。機器被接管後想恢復絕非輕而易舉。
Linux 中用 ps 指令尋找 rootkit 第一招。可能一切看似正常，但「真的正常嗎？」駭客常用詭計：替換 ps 指令，替換版不顯示非法程序。測試法：檢查 /bin/ps 檔案大小，通常約 60KB。近遇 rootkit 替換版僅約 12KB。
另一明顯騙局：將 root 指令歷史記錄檔連結到 /dev/null。此檔追蹤用戶登入後使用指令。駭客重導向目的：讓你看不到他們輸入過的指令。
在 shell 提示符下敲 history 存取歷史記錄。若發現自己正用 history 但未出現在之前指令列表，查看 ~/.bash_history。若為空，執行 ls -l ~/.bash_history。
正常輸出：-rw------- 1 jd jd 13829 Oct 10 17:06 /home/jd/.bash_history
被竄改輸出：lrwxrwxrwx 1 jd jd 9 Oct 10 19:40 /home/jd/.bash_history -> /dev/null
若見第二種，表明 .bash_history 已重導向 /dev/null，致命訊號：立即斷網、備份資料、重裝系統。
檢測 Linux 機器時，先檢查是否有未知用戶帳號。登入後執行：
grep :x:0: /etc/passwd
標準 Linux 安裝應只回傳一行：
root:x:0:0:root:/root:/bin/bash
若回傳超過一行 → 有問題。應只有一個 UID 為 0 的用戶，超過一行表示不止一個 root 權限用戶。
雖以上為發現駭客行為的良好基礎方法，但本身不足構成充分安全性，深度廣度遠不及入侵偵測系統。
以上講解 Linux 伺服器被黑解決方法的小知識點。
