本文目录一览：
没有入侵检测系统如何发现黑客入侵踪迹？
黑客入侵的手段有多种，而计算机被入侵之后相应的症状特征也是不同的。黑客入侵大致有两种目的，一种是以窃取资料情报及他人的隐私为目的，这类攻击对于被入侵的计算机系统的影响并没有明显的特征，往往要经过一段时间以后才可能被人发觉。另外一类攻击是以破坏计算机系统的功能为目的，被入侵的计算机系统往往会出现莫名其妙的故障，这类攻击的特征是比较明显的。 1. 系统和网络日志文件 黑客经常在系统日志文件中留下他们的踪迹，因此，充分利用系统和网络日志文件信息是检测入侵的必要条件。日志记录了含发生在系统和网络上的不寻常和不期望活动的证据，这些证据可以指出有人正在入侵或已成功入侵过系统。通过查看日志文件，就能够发现成功的入侵或入侵企图。 日志文件中记录了各种行为类型，每种类型又包含不同的信息，例如记录“用户活动”类型的日志就包含了登录、用户 ID 改变、用户对文件的访问、授权和认证信息等内容。所谓不正常的或不期望的行为就是指重复登录失败、登录到不期望的位置以及非授权的访问企图等等。日志文件也是黑客入侵留下信息最多的地方，因此要经常检查自己的日志文件，及时发现可疑的行为记录。 2. 目录和文件中的不正常的改变 网络环境中的文件系统包含很多软件和数据文件，包含重要信息的文件和私有数据的文件经常是黑客修破坏的目标。如果目录和文件中发生了不期望的改变(包括修改、创建和改或删除)，特别是那些正常情况下限制访问的，那么很可能就是一种入侵产生的指示和信号。 3. 程序执行中的不期望行为 网络系统上运行的程序一般包括操作系统、网络服务、用户起动的程序和特定目的的应用，例如数据库服务器等。每个在系统上执行的程序一般由一到多个进程来实现，每个进程运行在具有不同权限的环境中，这种一个进程的执行行为由它运行时执行的操作来表现，操作的方式不同，所利用的系统资源也就不同。操作包括数据计算、文件传输及网络间的通讯等等。 当一个进程出现了不期望的行为就可能表明黑客正在入侵你的系统。黑客可能会将程序或服务的运行分解从而导致它失败，或者是使之违背用户或管理员意图运行。有时候系统变得不稳定或莫名其妙地死机，或者处理速度降低等等。只要我们能够留心是很容易发现这类疑点的。当然了，有很多其他因素会导致这种现象，所以具体问题要具体分析。 4. 物理形式的入侵信息 这包括两个方面的内容，一是未授权的网络硬件连接;二是对物理资源的未授权访问。 通常情况下，黑客会想方设法去突破网络的周边防卫，如果他们能够在物理上访问内部网，就能安装他们自己的设备和软件。这些设备或者软件就成为黑客入侵的后门，黑客可以从这里随意进出网络。 这种入侵一般可以找到可疑的网络设备连接，另外，黑客也有可能利用网络设备的电磁泄漏来窃取信息或者入侵系统，这种设备就可能不是和系统设备直接地物理连接了。 另外，黑客还可以寻找网上由用户加上去的“不安全”设备，然后利用这些设备访问网络。例如，用户在家里可能安装 Modem 以便于远程访问办公室的计算机，而这时如果黑客正利用自动识别工具来查找连接到电话线上的 Modem。恰巧此时有一个拨号访问的数据通过自动识别工具，那么黑客就可以找到这个Modem，进而可利用这个后门来访问办公室所在内部网，这样就越过了办公室内部网络的防火墙。接下来黑客就这种可以进行捕获网络数据流、偷取信息、攻击系统等活动了。这种入侵的起因突破点在于网络设备的非正常的使用，对于以上介绍的远程攻击实例，我们可以在自己的电话清单中查找到可疑的连接。
怎样发现黑客入侵对于追踪很重要
如果当你受到黑客攻击之后，都很想搞清楚自哪里，是什么人在攻击自己，这样我们就可以有针对性的进行黑客的防范工作。那么如何才能作到这一点呢？这就需要我们对黑客进行追踪，并把黑客的老底给“掏”出来，这其中有很多门道，实现起来也有一定的难度。本章针对普通用户的防黑需求介绍了从发现黑客入侵到追踪黑客的各种方法，目的是让读者读完本章之后对追踪黑客的技术有个大致的了解，读完本章之后，你会发现追踪黑客是很吸引人的事情。
如何发现黑客入侵
及时发现黑客入侵对于能否成功地进行追踪是至关重要的，但很多的黑客入侵事件并不为人们所知，因为黑客入侵有时持续的时间很短，在人们还没有发觉的时候攻击就已经结束了。而且比较高明的黑客在入侵完成后还要隐藏或删除自己入侵的痕迹，所以如果发现得晚，黑客可能把一些日志等相关的文档删掉了，给追踪带来很大的难度。
本文中首先以CA的eTrust
Intrusion
Detection（入侵检测系统）为例，介绍关于专业入侵检测系统的知识，然后再介绍没有入侵检测系统的时候如何来发现黑客入侵。
如何发现电脑被黑客入侵？
你看电脑有没明显异常就知道了
比如电脑无故重启，文件丢失，速度变慢等等
这时候你就可以怀疑是病毒或者是黑客入侵你的电脑了
在命令提示符里输入：netstat -an 可以观察你计算机的端口状况，
如果你没有开启远程桌面连接，那是黑客入侵就无疑了，
如何查看自己的电脑 是否被黑客入侵过
1.用CTRL＋ALT＋DEL调出任务管理器，查看有什么程序在运行，如发现陌生的程序就要多加注意，大家可以关闭一些可疑的程序来看看，如果发现一些不正常的情况恢复了正常，那么就可以初步确定是中了木马了，发现有多个名字相同的程序在运行，而且可能会随时间的增加而增多，这也是一种可疑的现象也要特别注意，你这时是在连入Internet网或是局域网后才发现这些现象的话，不要怀疑，动手查看一下吧（注：也有可能是其它一些病毒在作怪）
2.在「开始」→「运行」中输入"MSCONFIG"查看是否有可疑的启动项。
3.查看注册表。在「开始」→「运行」中输入“REGEDIT”。 先对注册表进行备份，再对注册表查看。（一定要养成一个习惯，在修改木文件时，对自己没有把握的需要先进行备份）查看HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices和Run项，看看有没有可疑的程序。
4.在「开始」→「运行」中输入"CMD"启动CMD，输入NETSTAT-AN查看有没有异常的端口。
5.在Windows目录下，看看有无一个名为Winstart.bat的文件。这个文件也是与Autoexec.bat类似的一个自动批处理文件，不过，它只能在Windows工作而不能在DOS下使用。仔细看看有没有什么你不知道的驱动程序，把它记录下来，到百度查一下，一般这个自动批处理文件是不会被用到的。（只能凭经验判断了）
6.查看c：\autoexec.bat与c：\config.sys，这两个文件里有一些系统所需的驱动程序。看看有没有什么可疑的驱动程序。
7.右击「我的电脑」→事件查看器查看安全日志，看
怎么查看自己电脑是否被黑客攻击
查看电脑是否入侵，是否留有后门：
1、查看任务管理器--进程，是否有可疑程序。查看详细信息是否有可疑程序。必要时详情中点击程序右击打开文件所在的位置看看，再右击程序属性看创建日期及修改日期，看是否最新更新过系统或驱动，没有就要注意了。
2、win+R --cmd--输入：netstat -ano 看是否有可疑IP在进行外网链接，状态中后面数字为pid 。
解释：
listening：端口在监听，等待连接但是未连接；
time wait状态：曾经有过连接但当前断开了，最后一次连接状态。
established状态：连接中。
fin_wait_2：第二次fin应答状态。
close_wait： 已关闭连接的状态。
fin_wait： 关闭连接发fin应答状态。
3、看时间查看器--windows日志--系统，安全--信息--下部的常规--看服务文件名是否有可疑程序。
4、明知道是木马，杀毒不了，建议备份数据后重装电脑，加强防火墙及端口权限。不要浏览没有icp备案、不良信息的网站，
5、平时使用电脑比较快，看文件视频浏览网页不卡，但是遇到突然网页卡死或无网络、网络非常慢等要检查网线是否正常后查看是否被攻击。被攻击后建议备份数据重新装系统。
防止入侵:
1、加强防火墙管理。
2、加强端口进出入站规则。
3、加强远程权限管理。
4、加强共享文件管理。
5、不看不良网站。
其他命令:
1、通过端口找pid：netstat -aon|findstr "8008"；
2、通过pid找程序：tasklist|findstr "3306"；
3、查看ip，端口， pid信息：netstat -ano。