1. 如何排查linux服务器上的恶意发包行为
Linux下使用iftop工具结合iptables服务来解决带宽资源被恶意请求满的问题，主要通过2个步骤来实现；1. 使用iftop工具查出来是哪些个IP地址在请求主机的带宽资源，找出耗带宽的元兇
2. 找出耗带宽的IP地址或者段，分析是out方向还是in方向，使用iptables规则来进行控制
具体的详细操作方法如下；
一但出现带宽被恶意请求，在带宽被请满的情况下基本上很难通过网络登入到服务器上进行操作跟维护，这时我们需要通过阿里云提供的“连接管理终端”服务来登入系统
一般建议在主机正常的时候直接在服务器内部安装好iftop工具，这样出现恶意请求的时候直接可以使用该工具来进行排查，下面介绍下iftop的2中安装方法
1.使用yum 安装iftop工具
使用yum安装的话比较简单，只要直接执行 yum install iftop –y命令即可，如果没问题的话系统就会自动执行安装，但是有使用yum可能安装不了，这时就需要使用编译安装了
2.编译安装iftop工具
2. 如何排查Linux服务器上的恶意发包行为
以下几种方法检测linux服务器是否被攻击：1、检查系统密码文件首先从明显的入手，查看一下passwd文件，ls–l/etc/passwd查看文件修改的日期。2、查看一下进程，看看有没有奇怪的进程重点查看进程：ps–aef|grepinetdinetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果看到输出了一个类似inetd–s/tmp/.xxx之类的进程，着重看inetd–s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中也仅仅是inetd–s，同样没有用inetd去启动某个特定的文件；如果使用ps命令看到inetd启动了某个文件，而自己又没有用inetd启动这个文件，那就说明已经有人入侵了系统，并且以root权限起了一个简单的后门。3、检查系统守护进程检查/etc/inetd.conf文件，输入：cat/etc/inetd.conf|grep–v“^#”，输出的信息就是这台机器所开启的远程服务。一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。4、检查网络连接和监听端口输入netstat-an，列出本机所有的连接和监听的端口，查看有没有非法连接。输入netstat–rn，查看本机的路由、网关设置是否正确。输入ifconfig–a，查看网卡设置。5、检查系统日志命令last|more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件。在linux下输入ls–al/var/log检查wtmputmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。6、检查系统中的core文件通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。这种方式有一定的成功率，也就是说并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find/-namecore–execls–l{}\;依据core所在的目录、查询core文件来判断是否有入侵行为。7、检查系统文件完整性检查文件的完整性有多种方法，通常通过输入ls–l文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm–V`rpm–qf文件名`来查询，查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以manrpm来获得的格式。
3. 服务器对外发包 如何查看哪个网站对外发包怎么解决
采用排除法
一次停止服务器上一半的网站
可以按字母顺序排列好
如果没有影响还继续发包，那就接着停止剩下的一半
以此类推，很快就能排查到问题网站。
4. 如何知道服务器是否向外发包
一般服务器所在的机房都会有网维对服务器状态进行监控的，正规的机房都会配网维技术监控大网，发包技术会第一时间通知到服务器使用者，不需要自己监控的。平常做好杀毒、补好服务器的漏洞、不用的服务器端口尽量关掉，保持服务器在良好的运行状态就行。
5. 服务器大量往外发包，怎么办
暂停web服务先，然后再开启相应的检测工具跟踪下
或者整站下载到本地使用webshell工具进行扫描下，去除下发包的文件
6. 如何对一台linux服务器进行发包监控啊
监控的话可以用wireshark, tcpmp
监管的话可以用iptables