阿里云服务器检测说有木马，但具体是不是真的，请赐教。
看上去像是，因为我观察到服务器中木马的一种同样的现象，就是伪装成所谓的正常文件来欺骗过用户的眼睛。（例如图中的 /etc/init.d/selinux这种与服务器日常运行稳定不太相关的东西是被替换的高发文件）
同样，图中下面提到的/usr/bin/bsd-port 也并不是linux本来就有的东西（如果你没有安装过），这的确可疑。
赶紧上服务器删文件去吧，这确实是中木马了。
linux 比windows安全吗
应该。
一:病毒
1)Windows下都是administrator用户登录，病毒可以自由感染系统任何文件;ubuntu下普通用户不能修改系统文件。
2)Windows用户很多，研究的人也多，病毒，木马数量也很多，被攻击的数量也很多，攻击Windows终端用户有很多商业利益，如偷qq号，偷银行交易密码等等，有利益驱动研究的人也越多，“成果”也就越多;linux当前还没有普及所以病毒很少。
二:木马
同上
三:流氓软件
同上
四:常见攻击和入侵
同上，但需要补充一下，攻击者通常攻击两个方向:
a)终端用户，偷取个人信息
b)服务器，一次性获取巨额利益，比如攻击银行IBM
AIX
/
HP-UX
等等大机，目前ubuntu两者都不算，所以很安全
五:系统设计架构上的差异
1.
Win2k没有栈保护，很容易溢出/Win2k
malloc攻击也没有加强;WinXP稍有加强，但相对还是容易;Win2003加强了很多，很难攻击了，现在的芯片也都有栈不可执行保护了，XP
sp2以后和2003都利用了此特性，这将很难实施溢出攻击
2.
Linux
kernel
2.6以后的版本很多默认开启了栈保护功能，而起2.4
kernel很久前就有非官方的PAX内核补丁，加强了对抗溢出攻击，可以说早就达到了2003的标准，kernel
2.6现在的版本都内置了此功能
3.
大的服务器芯片+OS:
SPARC+Solaric
/
PowerPC
+
AIX
/
PA
+
HP-UX
等在9x年就有了芯片+内核的栈不可执行保护机制
4.linux文件系统本身的特性，没个文件夹、文件都有所有者、所有组、其它用户，而且对这三者可以分别设置读、写、执行的权限，而且在权限的分配和管理上也下了很大的功夫，这样在以普通用户登陆的情况下，很难危及到关键的系统文件的安全。这些都是windows的文件系统所没有的特性。Unix权限机制的确是对Windows的先天优势，但NT4的内核是VMS起来的，也是Unix的一个分支，安全机制真正用起来也不弱。
关键还是它定位为主要是单用户使用，定位不同。
六:开源
当黑客与工程师同时发现系统的漏洞时，windows封闭源，UBUNTU开源，黑客只是利用漏洞，而工程师在开源情况下可以自己修复漏洞，而在封闭源情下只能等待补丁，UBUNTU公开源有世界各地的爱好者为系统修复，而windows只能等待微软修复。
七:关于Ubuntu安全性的其它建议
1.
关闭所有对外服务，如ssh
2.
开启iptables，只让需要访问你的人能连上你
当黑客与工程师同时发现系统的漏洞时，windows封闭源，UBUNTU开源，黑客只是利用漏洞，而工程师在开源情况下可以自己修复漏洞，而在封闭源情下只能等待补丁，UBUNTU公开源有世界各地的爱好者为系统修复，而windows只能等待微软修复
大多数黑客(真正的黑客，不是拿着木马专搞破坏的那种)致力于对操作系统的研究的同时，不遗余力地为操作系统修补漏洞，尽管这些人往往对Windows系统没有好感，但他们也不吝于为Win做一些事情，当然他们干的更多的是为Unix/linux修补漏洞，所以往往Linux系统的漏洞一经发现，补丁也随之产生;至于Windows──什么事情都等工程师的话，龟波气功都出来了，更别说冲击波、震荡波啦。
3.真正直接获取利益就是攻击大量的个人用户和攻击商用大机获取数据，前者比较容易实施，后者你看金融都用IBM
AIX/HP-UX
...，都放在内网，想当难攻击。攻击在公网的WEB服务器，邮件服务器很难，因为他们只开放了1个对外服务，这时候攻击的是这个服务，如apache，难度很大，而且管理员不会在上面装什么软件，攻击途径也少多了，所以现在的攻击都转向了攻击客户端，而客户端自然要大面积撒网，所以攻击对象就转向了windows用户群了。
linux 虚拟主机如何设置权限
当然不能只给读权限了，因为php文件是需要执行权限的，你被入侵，肯定是系统存在漏洞，首先，你要解决这个漏洞，更新软件，更新系统，不过你没有权限更新，你需要跟万网联系让人家给你更新，软件不安全的话，你再怎么做，都没有办法改变这个漏洞，所以最根本的方法是更换软件。
linux下怎么编写程序，防止本机对外arp攻击？
iptables 应该直接就可以实现这功能
你要能看懂iptables源码的话
在我看来是大神级别了
话说 网络初始化时 会发ARP广播
你把本机对外的ARP包 禁了 估计 你就不能上网了
新手建站，想知道服务器遭受ddos攻击会有什么后果
服务器遭受ddos攻击的影响：
1、网站打不开。该特征主要表现为：网站服务器提供的页面浏览、上传等服务变得极慢或不能再提供服务。但也有可能是网站带宽或其他原因，所以需要综合其他症状进行判断。
2、CPU超载。如果网站管理员发现原本正常的服务器出现CPU、内存等消耗很大，CPU长期处于100%的状态，极有可能是DDOS引起的。
3、网路堵塞。如果你网络上出现了大量的非法数据包或伪造数据包，这也是DDOS的症状之一。最典型的案例是同一个IDC下的多个网站都无法访问，这是由于庞大到难以想象的数据涌入到整个IDC入口节点，导致IDC被DDOS击倒，造成整个IDC下的所有网站无法访问，停止服务。
4、频繁死机。如果遭到了DDOS的攻击，尤其是当CPU一直处于100%使用率的高危，那么服务器会反复重启。
一般游戏行业、电商行业比较容易被ddos攻击，所以建议选择服务器的话要选择高防服务器，确保网站的安全稳定。
linux防火墙如何防御ARP攻击？
windows下放arp攻击可以用金山ARP防火墙，把网关ip和MAC填上，然后选项里把安全模式的钩勾上就基本没什么问题。Linux没找到这么现成的东西，baidu google上找了一些方法，都自己试过一遍，不是非常管用。
进行arp攻击要做两件事情：
1、欺骗目标机器，攻击机器A告诉目标机器B：我是网关！
2、欺骗网关，攻击机器A告诉网关：我是B！
也就是A进行双向欺骗。
这样做以后目标机器B发给网关的数据包都让攻击机器A给没收了，没有发给网关，所以B就上不了网了。要让B能上网，A需要将从B收到的包转发给网关。(有时候开P2P终结这之类的软件的时候发现别人上不了网了，有时候是因为自己有一个NB的防火墙，有时侯是其他原因，从被控制的机器上发过来的包没有能转发给网关，所以。。。)
我在网上找了一些关于Linux怎么防arp攻击的文章，基本上有这么几种做法。
1、绑定IP-MAC。通过arp -s 或者 arp -f。我就咬定哪个是网关了，你们谁说的话我都不信！
但是有个缺点，必须双向绑定IP-MAC，如果你无法控制路由器，不能在网关那里设置静态IP，这个方法就无效了。
2、既然控制不了网关，我只能告诉网关哪个才是真正的我了。向网关发送自己的IP和MAC。也就是告诉网关：我才是XXX。
（1）用arping，或者arpspoof(arpsniffer)。
命令：arping -U -I 网卡接口 -s 源IP 目标IP
由于命令里面没有指定网关的MAC，所以形同虚设，效果不好。
（2）用arpoison或者ARPSender，可以指定MAC，效果算是比较好，但有时候还是不行。
命令：arpoison -i 网卡接口 -d 网关IP -s 我的IP -t 网关MAC -r 我的MAC
参考了这篇文章：
我用Wireshark看了一下，发现虽然我指定了目标的MAC，但是我的机器依然会间歇性地往攻击机器发送我的IP和MAC，然后攻击机器利用我的MAC进行双向欺骗。
所以我想，有没有什么办法不让除了网关之外的其他人知道我的MAC呢？后来就找到了一下这篇文章。
文章地址：
文章内容：(因为原文地址访问非常慢所以在这里贴出来)
Linux/FreeBSD防止ARP欺骗的一种 被动方法(隐藏MAC)
作者: Knight 日期: 2008-11-17 14:15
文章作者：Helvin
信息来源：邪恶八进制信息安全团队（）
首先对国内某些IDC不负责任的行为表示抗议
一般欺骗机器通过ARP Request获得网关的MAC，然后同样方法获得你服务器的MAC进行双向欺骗，然后sniffer密码，挂马之类。
国内几乎所有的IDC都是几百服务器公用一个网关的。然后上百个服务器总有几个有漏洞的，然后你就被ARP欺骗挂马或者抓密码了
下面介绍的是Linux 利用arptables来防止ARP Request获得你的MAC。这样攻击者会认为你的服务器是不存在的（本来很复杂的，需要patch编译内核什么的，上周才发现还有一个 arptables，免编译内核，现在把方法写一下）
Debian/Ubuntu：（runas sudo）CentOS/RHAS 叫arptables_jf
引用:
apt-get install arptables
arptables -A INPUT --src-mac ! 网关MAC -j DROP
arptables -A INPUT -s ! 网关IP -j DROP
如果你有本网的内网机器要互联，可以 引用:
arptables -I INPUT --src-mac 你的其他服务器MAC ACCEPT
如果你的MAC已经被欺骗机器拿到，那只能ifconfig ethx hw ether MAC来修改了
有一定的危险性，请酌情测试，你也可以疯狂刷新网关+本机ARP绑定，看具体需要
还要注意这个时候不要发出ARP Request到除网关以外的其他IP，其后果可能是被其他机器拿到MAC
补充一个FreeBSD下的隐藏MAC的方法
首先sysctl net.link.ether.ipfw=1开启IPFW ether层过滤功能（网桥模式要使用sysctl net.link.ether.bridge_ipfw=1）
然后
ipfw add 00005 allow ip from any to any MAC 网关MAC any /* 打开你到网关的通信 */
ipfw add 00006 allow ip from any to any MAC any 网关MAC /* 打开网关到你的通信 */
/* ........中间你可以添加本网段内需要互联的IP地址MAC双向通信........ */
ipfw add 00010 deny ip from any to any MAC any any /* 关闭所有其他MAC的任何响应 */
如果服务器作为内网网关使用，可以在内网网卡界面
ifconfig em1 -arp /* 关闭ARP响应(假设em0是内网网卡) */
arp -f /etc/arp.list /* 设置静态ARP表 */
以下是ARP(8) 关于arp.list格式的描述，
Cause the file filename to be read and multiple entries to be set
in the ARP tables. Entries in the file should be of the form
hostname ether_addr [temp] [pub]
with argument meanings as given above. Leading whitespace and
empty lines are ignored. A `#' character will mark the rest of
the line as a comment.
我觉得可以把 绑定IP-MAC + arposion + MAC隐藏的方法综合起来
转自
0条大神的评论