浅谈linux被入侵汉渭觳楹百度文库

浅谈 linux 被入侵虹何检查后门首先先用 iptraf 查下，如果没装的运行 yum install iptraf 装下linux 后门，看前面是不 是 UDP 包发的好多，如果是linux 后门，基本都被人装了?。 检查帐户# less /etc/passwd # grep :0: /etc/passwd（检查是氟了新用户，和 UID、GID 是 0 的用户） # ls -l /etc/passwd（查看文件更改日期） # awk -F: ?$3= =0 {print $1}? /etc/passwd（查看是汾特权用户） # awk -F: ?length($2)= =0 {print $1}? /etc/shadow（查看是汾空口令帐户）2。 检查日志# last（查看正常情壳录到本机的所有用户的历史记录） 注意”entered promiscuous mode” 注意错微 注 意 Remote Procedure Call (rpc) programs with a log entry that includes a large number (> 20) strange characters(-^PM-^PM-^PM-^PM-^PM-^PM-^PM-^PM)3。

检查进程# ps -aux（注意 UID 是 0 的） # lsof -p pid（察看该进程所此口跟文件） # cat /etc/inetd。conf | grep -v “^#”（检查守护进程） 检查隐藏进程 # ps -ef|awk ?{print }?|sort -n|uniq >1 # ls /porc |sort -n|uniq >2 # diff 1 24。 检查文件# find / -uid 0 –perm -4000 –print # find / -size +10000k –print # find / -name “…” –print # find / -name “。。 ” –print # find / -name “。 ” –print # find / -name ” ” –print 注意 SUID 文件，可疑?0M 和空羹 # find / -name core -exec ls -l {} ;（检查系统中的 core 文件） 检查系统文件完整性 # rpm –qf /bin/ls # rpm -qf /bin/login # md5sum –b 文件名 # md5sum –t 文件名5。

检查 RPM# rpm –Va输辰： S – File size differs M – Mode differs (permissions) 5 – MD5 sum differs D – Device number mismatch L – readLink path mismatch U – user ownership differs G – group ownership differs T – modification time differs 注意相关的 /sbin, /bin, /usr/sbin, and /usr/bin6。 检查网络# ip link | grep PROMISC（正常网卡不该在 promisc 模式，可能存在 sniffer） # lsof –i # netstat –nap（察看不正常茨 TCP/UDP 端口) # arp –a7。 检查计划任务注意 root 和 UID 是 0 的 schedule # crontab –u root –l # cat /etc/crontab # ls /etc/cron。*8。 检查后门# cat /etc/crontab # ls /var/spool/cron/ # cat /etc/rc。

d/rc。local # ls /etc/rc。d # ls /etc/rc3。d # find / -type f -perm 40009。 检查内核组件# lsmod10。 检查系统服务# chkconfig # rpcinfo -p（查看 RPC 服务）11。 检查 rootkit# rkhunter -c # chkrootkit -q

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-135642-1.html