多くの場合は、Webサーバ自身のセキュリティーホールを突かれて乗っ取られるとか、管理用にSSHとかを許可している場合、アカウント名とパスワードを解析されて（辞書攻撃やブルートフォースアタックなど）アクセスを許してしまうとかいった場合が多いでしょうね。 あと、CGIなどのスクリプトを動作させている場合、スクリプトのバグから乗っ取られる危険性もあります。 とりあえず、その辺はご理解しているようですので、「余計なサービスを立ち上げず、ポートも必要な分だけ開き、必要なアップデートをし、下手に改ざん可能なスクリプトを利用したウェブページなどを構築しなければ」そこまで心配する必要はないと思っていいでしょうね。 また、SSHやFTPなどの管理用のアクセスについては、/etc/hosts.denyなどで、アクセス元を限定するのも重要ですね。 それと、どんなにやっても１００％安全ということはないので、もし乗っ取られたりした場合に、それに早めに気づけるようログなどを定期的にチェックして怪しい兆候がないかどうかを見ておくことも必要です。 ログインの失敗などが多数出ているようなら、アタックを受けていると考えたほうが良いですからね。 >watasiwabokudesuyoさん 「Webサーバが踏み台にされる」という場合、「ApacheなどのWebサーバ機能が踏み台にされる」（watasiwabokudesuyoさんがおっしゃっている内容）と、「Webサーバとして利用しているサーバ自身がクラックされて踏み台にされる」という場合の二種類の意味にとれますよね。 質問の内容からして、質問者さんがおっしゃっているのは後者なんじゃないかと思いますけど。 なお、私の回答は後者だという前提で書いています。 フィッシング目的の書き換えにしても、基本的にはセキュリティーホールを突くなり、スクリプトの脆弱性を突くなり、SSHなどを乗っ取るなりしないとできませんから、対策としてはどちらも同じような対策で大丈夫だと思いますけどね。 ＃＃補足分＃＃ ＞やはり個人で勉強してｳｪﾌﾞｻｰﾊﾞｰ（httpdなど）を建てるのは現実、基本NGな事なんでしょうか？ NGじゃないですよ。 あくまで自己責任でやる＆できるだけ勉強して無用な穴をあけないとかいったことを守ればね。 あとは、頻繁にチェックして、乗っ取りなどを受けていそうならネットからすぐに切り離すとかいったことも必要です。 とりあえず、クラッカーの方もプアな自宅サーバをターゲットにするよりも、セキュリティー意識が低い割に、環境の整っている中小企業のサーバを標的にする傾向にありますので、あまりビクビクしすぎなくてもいいとは思いますよ。 まあ、基本的な勉強してほしいですけどね。 「入門書片手にとりあえず公開して、あとは放置」みたいなのはちょっと…とは思います。