网站入侵后怎么清理痕迹？
一般用工具是最快的 如果手动删的话很麻烦 比如cookie啊 log啊 所以还是用工具最快 但是遇到入侵检测系统就不是工具能够搞定的 那就非要手动了
网站或者服务器被别人入侵后，一般有哪些方法可以解决
如果是服务器被入侵，安全起见建议重做系统 。网站被入侵，查看日志 ，分析攻击方式，做漏洞修补，然后查找后门程序，清除之！
敲诈者是什么概念
截止2006年6月16日，被江民反病毒中心率先截获的敲诈者病毒已经造成近百人感染。病毒恶意隐藏用户文档，并借修复数据之名向用户索取钱财。虽然目前杀毒软件可以防杀该病毒，但已经中毒的用户，杀毒后被隐藏的文件需要借助手工修改注册表或使用专业恢复工具才能恢复，普通用户操作起来具有一定的技术难度。
为了让染毒用户自己也能手工修复被隐藏的文件，江民科技反病毒中心特别研发了“敲诈者”病毒查杀和修复工具，普通电脑用户借助该专杀和修复工具，也可以自己动手修复被病毒隐藏的文件。
据悉，“敲诈者”木马运行后，在系统目录下将自身复制为redplus.exe，大小200KB左右。病毒同时在“开始菜单\所有程序\启动”菜单下建立指向“拯救硬盘.txt”文本的快捷方式，这样每次系统启动。如果中毒用户用户按照"拯救磁盘.txt"中描述的步骤，则会运行病毒文件redplus.exe，中毒者会被要求向某指定的工行账户内汇入70元到200元不等的人民币。
江民反病毒专家介绍，目前江民反病毒中心已经截获该病毒的两个病毒，用户只需升级杀毒软件到最新病毒库即可有效防杀该病毒及其变种，已中毒用户可以下载专杀和修复工具手工恢复被隐藏的文件。
江民敲诈者病毒专杀和修复工具下载地址：http://www.jiangmin.com/download/jmfilerecover.exe
回答者：正宗专心 - 举人 四级 6-17 11:19
能！！用软件就能找回来！！FINALDATA
FinalData 企业版
http://www.crsky.com/soft/963.html
参考资料：http://www.crsky.com/soft/963.html
回答者：实现我的愿望 - 经理 四级 6-17 11:26
http://www.antivirus-china.org.cn/content/Trojan_Agent.BQ.htm
国家计算机病毒应及处理中心通过对互联网的监测发现一个新的木马程序
" 敲诈者"（Trojan_Agent.BQ）。该木马程序以敲诈勒索钱财为目的，使得感染
该木马的计算机用户系统中的指定数据文件被恶意隐藏，造成用户数据丢失。截
至目前为止，在国内已经出现了因感染该木马程序而导致计算机系统数据文件丢
失的情况。
以下为该木马程序的详细情况：
病毒名称：敲诈者（Trojan_Agent.BQ）
病毒类型： 木马程序
其它命名：TrojanSpy. Agent.bq（江民）
Win32.Troj.Pluder.A.5473744（金山）
Trojan.Disclies.e（瑞星）
TROJ_PLUDER.A（趋势）
感染系统：Windows 9X/Me/NT/2000/XP
病毒介绍：
该木马程序运行后，可恶意隐藏计算机用户系统中的文档，同时在系统里出
现可以帮助计算机用户修复丢失掉的数据信息的文本文件“拯救磁盘.txt”，
目的是向受感染的计算机用户索取钱财。
1、生成病毒文件
计算机用户一旦受到该木马程序的感染，会在系统目录%System％下生成自
身的拷贝，名称为redplus.exe。（其中，%System%在Windows 95/98/Me 下为
C:\Windows\System，在Windows NT/2000下为C:\Winnt\System32，在Windows
XP下为 C:\Windows\System32）
2、生成文本文件“拯救硬盘.txt”
木马程序进入受感染计算机用户的系统以后，会在“开始\所有程序\启
动”里生成一个文本文件“拯救硬盘.txt”，其内如如下：
当用户按照“拯救磁盘.txt”中描述的步骤，运行redplus.exe后，会显示
3、隐藏文档
该木马程序一旦被运行以后，会在计算机系统根目录下建立属性为系统、
隐藏和只读的备份文件夹“控制面板”，同时它会搜索计算机系统中所有后缀
名为.xls、.doc、.mdb、.ppt、.wps的文件，找到后把这些文件移动到备份文
件夹中，这样计算机用户的数据文件就被隐藏起来，表面上看起来是系统中上
述文件丢失了，已达到向受感染的计算机用户索取钱财的目的。
4、终止进程
该木马程序运行时，还会试图终止除几个系统进程之外的所有系统正在运
行的进程程序。如果计算机系统中装有反病毒软件和一些病毒分析工具，木马
也会将其进程终止，以达到保护自己的目的。
手动解决方法：
1、打开工具选项—〉文件夹选项—〉选择显示所有文件和文件夹并且将隐藏
受保护的操作系统文件前的√去掉。
2、将根目录下的名为“控制面板”隐藏文件夹用WinRAR压缩，然后启动
WinRAR，切换到该文件夹的上级文件夹，右键单击该文件夹，在弹出菜单
中选择"重命名"。
3、去掉文件夹名“控制面板”后面的ID号{21EC2020-3AEA-1069-A2DD-
08002B30309D}，即可变为普通文件夹了；也可直接进入该文件夹找回丢
失的文件。
目前，北京江民公司、瑞星公司、趋势科技公司和金山公司已经能够检
测、清除该木马程序。国家计算机病毒应及处理中心提醒广大计算机用户如
果感染这种木马程序或者发现新的变种程序，请及时与我中心联系求助并提
供病毒样本。
我们的联系方式：
电话：022-66211488
邮箱：contact@antivirus-china.org.cn
回答者：mointernet - 经理 四级 6-17 11:41
http://www.jiangmin.com/download/jmfilerecover.exe
回答者：云301301 - 助理 三级 6-17 17:38
截止2006年6月16日，被江民反病毒中心率先截获的敲诈者病毒已经造成近百人感染。病毒恶意隐藏用户文档，并借修复数据之名向用户索取钱财。虽然目前杀毒软件可以防杀该病毒，但已经中毒的用户，杀毒后被隐藏的文件需要借助手工修改注册表或使用专业恢复工具才能恢复，普通用户操作起来具有一定的技术难度。
为了让染毒用户自己也能手工修复被隐藏的文件，江民科技反病毒中心特别研发了“敲诈者”病毒查杀和修复工具，普通电脑用户借助该专杀和修复工具，也可以自己动手修复被病毒隐藏的文件。
据悉，“敲诈者”木马运行后，在系统目录下将自身复制为redplus.exe，大小200KB左右。病毒同时在“开始菜单\所有程序\启动”菜单下建立指向“拯救硬盘.txt”文本的快捷方式，这样每次系统启动。如果中毒用户用户按照"拯救磁盘.txt"中描述的步骤，则会运行病毒文件redplus.exe，中毒者会被要求向某指定的工行账户内汇入70元到200元不等的人民币。
江民反病毒专家介绍，目前江民反病毒中心已经截获该病毒的两个病毒，用户只需升级杀毒软件到最新病毒库即可有效防杀该病毒及其变种，已中毒用户可以下载专杀和修复工具手工恢复被隐藏的文件。
国家计算机病毒应及处理中心通过对互联网的监测发现一个新的木马程序
" 敲诈者"（Trojan_Agent.BQ）。该木马程序以敲诈勒索钱财为目的，使得感染
该木马的计算机用户系统中的指定数据文件被恶意隐藏，造成用户数据丢失。截
至目前为止，在国内已经出现了因感染该木马程序而导致计算机系统数据文件丢
失的情况。
以下为该木马程序的详细情况：
病毒名称：敲诈者（Trojan_Agent.BQ）
病毒类型： 木马程序
其它命名：TrojanSpy. Agent.bq（江民）
Win32.Troj.Pluder.A.5473744（金山）
Trojan.Disclies.e（瑞星）
TROJ_PLUDER.A（趋势）
感染系统：Windows 9X/Me/NT/2000/XP
病毒介绍：
该木马程序运行后，可恶意隐藏计算机用户系统中的文档，同时在系统里出
现可以帮助计算机用户修复丢失掉的数据信息的文本文件“拯救磁盘.txt”，
目的是向受感染的计算机用户索取钱财。
1、生成病毒文件
计算机用户一旦受到该木马程序的感染，会在系统目录%System％下生成自
身的拷贝，名称为redplus.exe。（其中，%System%在Windows 95/98/Me 下为
C:\Windows\System，在Windows NT/2000下为C:\Winnt\System32，在Windows
XP下为 C:\Windows\System32）
2、生成文本文件“拯救硬盘.txt”
木马程序进入受感染计算机用户的系统以后，会在“开始\所有程序\启
动”里生成一个文本文件“拯救硬盘.txt”，其内如如下：
当用户按照“拯救磁盘.txt”中描述的步骤，运行redplus.exe后，会显示
3、隐藏文档
该木马程序一旦被运行以后，会在计算机系统根目录下建立属性为系统、
隐藏和只读的备份文件夹“控制面板”，同时它会搜索计算机系统中所有后缀
名为.xls、.doc、.mdb、.ppt、.wps的文件，找到后把这些文件移动到备份文
件夹中，这样计算机用户的数据文件就被隐藏起来，表面上看起来是系统中上
述文件丢失了，已达到向受感染的计算机用户索取钱财的目的。
4、终止进程
该木马程序运行时，还会试图终止除几个系统进程之外的所有系统正在运
行的进程程序。如果计算机系统中装有反病毒软件和一些病毒分析工具，木马
也会将其进程终止，以达到保护自己的目的。
手动解决方法：
1、打开工具选项—〉文件夹选项—〉选择显示所有文件和文件夹并且将隐藏
受保护的操作系统文件前的√去掉。
2、将根目录下的名为“控制面板”隐藏文件夹用WinRAR压缩，然后启动
WinRAR，切换到该文件夹的上级文件夹，右键单击该文件夹，在弹出菜单
中选择"重命名"。
3、去掉文件夹名“控制面板”后面的ID号{21EC2020-3AEA-1069-A2DD-
08002B30309D}，即可变为普通文件夹了；也可直接进入该文件夹找回丢
失的文件。
目前，北京江民公司、瑞星公司、趋势科技公司和金山公司已经能够检
测、清除该木马程序。国家计算机病毒应及处理中心提醒广大计算机用户如
果感染这种木马程序或者发现新的变种程序，请及时与我中心联系求助并提
供病毒样本。
回答者：王子曦 - 试用期 一级 6-17 17:55
按下面的做，这是江民提供的办法！细心点，不会用注册表也行，照下面的步步找下去，找到后修改成下面的内容，10分钟搞定恢复！
运行“regedit”，修改被病毒破坏的注册表为以下各个键值，这样就能显示隐藏文件以及系统文件了然后请定位到一下注册表键值：
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden" = 1
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"HideFileExt" = 0
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden" = 0
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden" = 1
回答者：gaolin106 - 助理 二级 6-18 01:02
1.什么是木马
木马就是一种可执行的程序，和平时用到的软件一样，只不过它所实现的功能与正常软件有所区别，主要就是体积小，隐藏性好，有些具有感染性等，最主要的功能就是用来远程控制或窃密等，简言之，就是黑客为了实现特定的目的编写的应用程序。
2.木马实例：
（1)阿拉QQ大盗：中马后会在指定的时间内强行关闭你的QQ号码，当你再次登陆时，你的号码和密码就会被木马拦截并发送到木马制造者指定的信箱或是网页处理程序上。
（2)灰鸽子：中马后对方可以完全控制你的电脑，可以下载你所有的文件，监控你的屏幕，强行开启你的摄像头，格式化你的硬盘，把你的电脑设为代理服务器作为跳板攻击它人电脑来栽赃嫁祸！总之就是可以把你的电脑当成自己的电脑来用，还要以用来盗取钱财，比如可以利用你的ADSL账号消费，用来买网络物品比如QQ币等。
3.中木马的方式
（1)你直接下载或是接收别人发给你的木马文件（可以作了伪装处理，比如把可执行文件“打扮”成一张照片），然后你傻乎乎的运行了它。
（2）一种可能是你下载了捆绑了木马的文件，比如把阿拉QQ大盗与QQ软件捆绑在下起，当你下载QQ软件安装时，QQ木马也会在隐藏状态下运行，你一切你都不会发现有任何的异常。
（3)中了网页木马，网页木马就是利用计算机的漏洞精心构造的网页，它的功能就是当你的计算机有这种漏洞时，你的漏洞就会被利用并自动下载运行指定的文件，例如WMF网页木马，当你的计算机有WMF漏洞时，打开些种网页会自动弹出“图片传真查看器”，然后自动下载木马文件到你的计算机并运行，还有HELP控件漏洞的网页木马，打开时会出出MS的帮助文件，然后下载病毒到你的计算机，当然更厉害的就是像正常网页一样，什么也不弹出就把病毒植入你的电脑了。比如冰狐浪子写的自动下载运行器（不过只能突破XP+SP1以下系统）
4.如何防范木马
（1）现在大家的防范意识都比较好了，很少有傻X去接收网友发给你的文件然后去运行它，所以对于第一种中马的可能性相对较少，建议大家不要接收网友发给你的文件，即使是好友（因为有些病毒可以自动发送文件给好友，你在未确定确是你的好友发给你的文件之时请不要接收，应先问明对方）。
补充：如果是发送文件的话，病毒怎么伪装也改不了EXE后缀名的特点，所以如果是其它后缀名可以接收，不过利用网页木马技术可以把构造一个任意后缀名的文件发送给别人，这个文件虽然不是木马本身，但是它确可以自动从指定的网址下载可执行文件，比如WMF后缀名的文件，它看起来只是图片的一种格式，和JPG，GIF一样，但是如果是黑客构造的病毒，它就会自动下载文件到你的电脑，（不需要你打开文件，只要你打开此文件所在的文件夹你就中马了）
（2)针对捆绑的文件，你最好下载网上的文件时先用捆绑检测文件查一下有没有捆绑附加数据，然后再运行它
（3)对于网页木马，这个是传播木马最佳的手段了，只要你打开一个网页你就中马了，相信这也是大家中毒的最大的可能，它只需要你的计算机有漏洞和你打开了旨定的网址这两个条件，你就中马了（关于漏洞，众所周知MS不停的补啊补，没有任何人敢说他的电脑没有任何漏洞，巳知的和未知的），你可能会怀疑：我没有上什么不良网站啊，怎么也会中毒？答：现在网站入侵技术非常的高明，而现在好多网站的安全意识很低，所以好多网站都被黑客入侵并在主页上挂了网页木马了，包括新浪，网易，搜狐，国家安全小组，中国杀毒网等都有被黑客入侵挂马的遭遇，那些小网站就更别说了，被人入侵得千疮百孔！还有一些论坛的人员利用跨站代码的FLASH或媒体文件作签名档，你查看此类帖子的时候也会中了网页木马。
说了这么多，现在该说说如何防范了*^_^*
先前我说过，只有利用漏洞网马才能升效，所以对付网页木马最好的手段就是及时给电脑打好补丁，没有漏洞网马就无能为力了！！！
电脑木马查杀大全
常在河边走，哪有不湿脚？所以有时候上网时间长了，很有可能被攻击者在电脑中种了木马。如何来知道电脑有没有被装了木马呢？
一、手工方法：
1、检查网络连接情况
由于不少木马会主动侦听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接网络的情况下，通过检查网络连情情况来发现木马的存在。具体的步骤是点击“开始”-“运行”-“cmd”，然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分——proto（连接方式）、local address（本地连接地址）、foreign address（和本地建立连接的地址）、state（当前端口状态）。通过这个命令的详细信息，我们就可以完全监控电脑的网络连接情况。
2、查看目前运行的服务
服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。我们可以通过点击“开始”-“运行”-“cmd”，然后输入“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。
3、检查系统启动项
由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。检查注册表启动项的方法如下：点击“开始”-“运行”-“regedit”，然后检查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。
Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看，在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了！
4、检查系统帐户
恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对这种情况，可以用以下方法对账户进行检测。
点击“开始”-“运行”-“cmd”，然后在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个用户吧！
如果检查出有木马的存在，可以按以后步骤进行杀木马的工作。
1、运行任务管理器，杀掉木马进程。
2、检查注册表中RUN、RUNSERVEICE等几项，先备份，记下可以启动项的地址， 再将可疑的删除。
3、删除上述可疑键在硬盘中的执行文件。
4、一般这种文件都在WINNT，SYSTEM，SYSTEM32这样的文件夹下，他们一般不会单独存在，很可能是有某个母文件复制过来的，检查C、D、E等盘下有没有可疑的.exe，.com或.bat文件，有则删除之。
5、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main中的几项（如Local Page），如果被修改了，改回来就可以。
6、检查HKEY_CLASSES_ROOT\txtfile\shell\open\command和 HKEY_CLASSES_ROOTxtfileshellopencommand等等几个常用文件类型的默认打开程序是否被更改。这个一定要改回来。很多病毒就是通过修改.txt文件的默认打开程序让病毒在用户打开文本文件时加载的。
二、利用工具：
查杀木马的工具有LockDown、The Clean、木马克星、金山木马专杀、木马清除大师、木马分析专家等，其中有些工具，如果想使用全部功能，需要付一定的费用，木马分析专家是免费授权使用。
回答者：foolwharf - 见习魔法师 二级 6-18 10:10
CCTV已于6月18日发布该病毒处理方法的信息，你可以去到国家信息中心的站点去解决
回答者：lzcgzxyjh - 举人 五级 6-19 14:46
你挂彩了 没想到 啊 刚发不久你就中彩 我看是不行了
回答者：349574218 - 秀才 二级 6-19 20:23
垃圾病毒 直接改模块参数就OK 资料不见了 直接分析硬盘磁道信息 再修复磁道就OK 要知道营盘上的东西不是这么容易就被删除的。黑客在做完攻击之后都要“擦屁股”--清理计算机硬盘上的信息 。但是很多软件 即使是专业的清理软件依然无法完美地清除，公安机关的 技术人员一样可以把永久彻底删除了的东西复原 何况小小病毒引起的信息流失。记住 分析硬盘磁道 读取磁道上的信息就OK。
回答者：listenyun - 魔法学徒 一级 6-20 11:23
1.什么是木马
木马就是一种可执行的程序，和平时用到的软件一样，只不过它所实现的功能与正常软件有所区别，主要就是体积小，隐藏性好，有些具有感染性等，最主要的功能就是用来远程控制或窃密等，简言之，就是黑客为了实现特定的目的编写的应用程序。
2.木马实例：
（1)阿拉QQ大盗：中马后会在指定的时间内强行关闭你的QQ号码，当你再次登陆时，你的号码和密码就会被木马拦截并发送到木马制造者指定的信箱或是网页处理程序上。
（2)灰鸽子：中马后对方可以完全控制你的电脑，可以下载你所有的文件，监控你的屏幕，强行开启你的摄像头，格式化你的硬盘，把你的电脑设为代理服务器作为跳板攻击它人电脑来栽赃嫁祸！总之就是可以把你的电脑当成自己的电脑来用，还要以用来盗取钱财，比如可以利用你的ADSL账号消费，用来买网络物品比如QQ币等。
3.中木马的方式
（1)你直接下载或是接收别人发给你的木马文件（可以作了伪装处理，比如把可执行文件“打扮”成一张照片），然后你傻乎乎的运行了它。
（2）一种可能是你下载了捆绑了木马的文件，比如把阿拉QQ大盗与QQ软件捆绑在下起，当你下载QQ软件安装时，QQ木马也会在隐藏状态下运行，你一切你都不会发现有任何的异常。
（3)中了网页木马，网页木马就是利用计算机的漏洞精心构造的网页，它的功能就是当你的计算机有这种漏洞时，你的漏洞就会被利用并自动下载运行指定的文件，例如WMF网页木马，当你的计算机有WMF漏洞时，打开些种网页会自动弹出“图片传真查看器”，然后自动下载木马文件到你的计算机并运行，还有HELP控件漏洞的网页木马，打开时会出出MS的帮助文件，然后下载病毒到你的计算机，当然更厉害的就是像正常网页一样，什么也不弹出就把病毒植入你的电脑了。比如冰狐浪子写的自动下载运行器（不过只能突破XP+SP1以下系统）
多次登录一个被入侵网站webshell，会不会把我每次的IP都记录
肯定会在日志记录你的ip若是政府网站你会死的很惨，普通的小点的问题不大。建议以后使用跳板这是一个很好的习惯！
网站被入侵后如何解决
怎么及时地发现黑客的入侵，找到入侵者并采取有效的解决措施是非常关键的。 如何发现入侵者 系统被入侵而全无知晓恐怕是最糟糕的事情了，下面就将以UNIX系统为例告诉你如何在分析网络异常现象的基础上确定你的网络系统是否有入侵者。 异常的访问日志 入侵者在入侵并控制系统之前，往往会用扫描工具或者手动扫描的方法来探测系统，以获取更多的信息。而这种扫描行为都会被系统服务日志记录下来。比如：一个IP连续多次出现在系统的各种服务日志中，并试图越漏洞;又如一个IP连续多次在同一系统多个服务建立了空连接，这很有可能是入侵者在搜集某个服务的版本信息。 注意!在 UNIX 操作系统中如果有人访问了系统不必要的服务或者有严重安全隐患的服务比如：finger、rpc;或者在 Telnet、FTP、POP3 等服务日志中连续出现了大量的连续性失败登录记录，则很有可能是入侵者在尝试猜测系统的密码。这些都是攻击的前兆! 网络流量增大 如果发现服务器的访问流量突然间增大了许多，这就预示着你的系统有可能已经被入侵者控制，并被入侵用来扫描和攻击其他的服务器。事实证明，许多入侵者都是利用中介主机对远程主机进行扫描并找出安全漏洞，然后再进行攻击的。而这些行为都会造成网络流量突然增大。 非法访问 如果你发现某个用户试图访问控制并修改/etc/shadow、系统日志和系统配置文件，那么很有可能这个用户已经被入侵者控制，并且试图夺取更高的权限。 正常服务终止 比如系统的日志服务突然奇怪的停掉，或你的IDS程序突然终止，这都暗示着入侵者试图要停掉这些有威胁的服务，以避免在系统日志上留下“痕迹”。 可疑的进程或非法服务的出现 系统中任何可疑的进程都应该仔细检查，比如以root启动的http服务，或系统中本来关闭的服务又重新被启动。这些可疑进程和服务都有可能是入侵者启动的攻击进程、后门进程或Sniffer进程。 系统文件或用户 者通常会更改系统中的配置文件来逃避追查，或者加载后门、攻击程序之类的软件以方便下次进入。比如对于UNIX而言，入侵者或修改syslog.conf文件以去掉secure的条目来躲避login后门的审计，或修改hosts.deny、hosts.allow来解除tcpwrapper对入侵者IP的过滤;甚至增加一个条目在rc.d里面，以便系统启动的时候同时启动后门程序。所以被非法修改的系统文件或莫明其妙地增加了一个用户等一些现象都意味着你的系统很可能被入侵者控制了。
入侵网站需要什么步骤
嗯....不知道你要干什么，希望你不要干坏事。
第一步：情报收集与分析
用扫面器或者人工的对服务器的状态进行探知，获得以下信息： 服务器类型（大致分为windows服务器和linux服务器）、服务器版本、服务器的网络布局（自己与网站服务器的相对网络位置，是否有防火墙，不过现在的服务器一般都在防火墙后面）、服务器上开启的端口号、服务器上运行的服务及其版本、网站的网页脚本类型、脚本版本等等。最后根据以上信息判断该服务器可能存在的漏洞，这将是下一步的基础。
第二步：攻击开始
根据上一步收集到的漏洞信息开始对网站服务器发动攻击。一般是登陆服务器上开启的服务并猜测该服务的密码（弱口令攻击，现在基本失效）如果猜对便可以根据服务获得相应的服务器操作权限，如果运气好，这里就可以直接拿下服务器。或者根据服务器上运行的服务所存在的溢出漏洞进行溢出攻击（不过，溢出漏洞并不好找）。或者跟据网页脚本上的漏洞进行网页渗透。
第二步的主要目的就是为了获得一个可以在目标服务器上执行一定命令的权限，这也是最难的一步。
第三步：权限提升
如果只是为了从服务器上拿些东西，或者修改服务器上的一些文件，利用第二步获得权限可能已经足够，但是如果遇到细心的管理员进行了严格的权限管理，或者想完全控制服务器还需要提权操作。也就是利用第二步获得的权限获得跟高的服务器使用权限的操纵。其实现方法根据不同的入侵路径，会很多。这里只提一下大概思路，windows服务器：获得服务器系统盘的读写权（有时可以跳过）、获得system权限、建立自己的隐藏管理员用户、留下后门或木马。linux：获得root权限、留下后门。
最后就是清理自己的脚步，删除或者修改服务器上的日志文件，不然管理员会很容易察觉到被入侵。
网站入侵的形式其实很多，上面只是较为常用的形式而已。其他的还有 中间人攻击 社会工程学攻击等等。
以上只是个人的见解，希望能帮到你......
入侵网站把原代码找到了之后怎么做
原代码和网站数据是两个概念 请分析清楚
下载网站数据分析他的连接文件
找出漏洞所在
最好先找到 数据库 但是一般情况下
网站的数据库是存放网站管理员密码的
用用辅臣打开数据库 一般可以入侵成功了
入侵网站以后对痕迹如何清理?
清除某些日志，如果你还想在入侵的话就不要把所有的日志都清除