设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [20370] 2020-09-22_护网之Linux应急处理操作手册 ...
返回列表 发新帖
查看: 2|回复: 0

[20370] 2020-09-22_护网之Linux应急处理操作手册

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-09-22_护网之Linux应急处理操作手册 护 网 之 L i n u x 应 急 处 理 操 作 手 册 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 9 - 2 2 以 下 文 章 来 源 于 B u g F o r 安 全 团 队   ， 作 者 P I N G X h e l l o 不 点 蓝 字 ， 哪 学 姿 势 ？ 本 菜 菜 今 天 在 处 置 的 时 候 有 遇 到 一 台 l i n u x 主 机 在 排 查 过 程 中 原 因 好 好 好 好 好 奇 葩 想 到 大 家 可 能 也 会 遇 到 很 多 l i n u x 主 机 ， 故 发 一 篇 这 样 的 文 章 虽 然 今 天 处 置 的 时 候 并 非 本 文 章 情 况 ， 等 过 段 时 间 结 束 了 我 在 发 一 下 我 的 处 置 过 程 涉 及 到 的 技 术 点 以 及 思 路   基 础 准 备 基 础 准 备 - - 命 令 防 篡 改 与 命 令 记 录 命 令 防 篡 改 与 命 令 记 录 很 多 黑 客 入 侵 到 操 作 系 统 后 ， 会 做 两 个 常 见 的 操 作 u n s e t   h i s t o r y 和 替 换 命 令 文 件 （ 或 者 对 应 的 链 接 库 文 件 ） 替 换 命 令 文 件 （ 或 者 对 应 的 链 接 库 文 件 ） ， 针 对 这 两 点 要 做 好 记 录 s h e l l l o g 并 且 检 查 链 接 库 类 文 件 和 命 令 文 件 最 近 有 没 有 改 动 检 查 链 接 库 类 文 件 和 命 令 文 件 最 近 有 没 有 改 动 。 R o o t k i t H u n t e r   症 状 研 判 症 状 研 判 - 根 据 主 机 异 常 状 态 判 断 异 常 点 根 据 主 机 异 常 状 态 判 断 异 常 点 性 能 资 源 紧 张 （ 变 现 为 卡 慢 ） 性 能 资 源 紧 张 （ 变 现 为 卡 慢 ） # # B u g F o r 安 全 团 队 安 全 团 队   . B u g F o r   安 全 团 队 致 力 打 造 高 质 量 全 球 互 联 网 安 全 媒 体 和 技 术 社 区 平 台 ， 互 联 网 安 全 爱 好 者 们 交 流 与 分 享 安 全 技 术 的 社 区 平 台 ， 推 动 国 家 网 络 安 全 进 步 ！ # 安 装 $ s u d o   w g e t   h t t p s : / / j a i s t . d l . s o u r c e f o r g e . n e t / p r o j e c t / r k h u n t e r / r k h u n t e r / 1 . 4 . 4 / r k h u n t e r - 1 . 4 . 4 . t a r . g z $ s u d o   t a r   z x v f   r k h u n t e r - 1 . 4 . 4 . t a r . g z $ s u d o   c d   r k h u n t e r - 1 . 4 . 4 $ s u d o   s h   i n s t a l l . s h   - - i n s t a l l # 使 用 $ / u s r / l o c a l / b i n / r k h u n t e r   - - p r o p u p d $ / u s r / l o c a l / b i n / r k h u n t e r   - c   - - s k   - - r w o f r e e   - m   # 以 M B 为 单 位 查 看 内 存 使 用 情 况 f r e e   - l     # 查 看 内 存 使 用 细 节 p s   a u x | h e a d   - 1 ; p s   a u x | g r e p   - v   P I D | s o r t   - r n   - k   + 4 | h e a d   # 查 看 内 存 使 用 前 十 名 v m s t a t   - a   # 查 看 内 存 和 C P U 使 用 情 况 v m s t a t   - s   # 查 看 内 存 和 C P U 使 用 详 情 v m s t a t   - d   # 查 看 读 写 I O 情 况 p s   a u x | h e a d   - 1 ; p s   a u x | g r e p   - v   P I D | s o r t   - r n   - k   + 3 | h e a d     #   查 看 C P U 使 用 前 十 名
主 机 宕 机 死 机 （ 表 现 为 主 机 宕 机 或 死 锁 或 重 启 ） 主 机 宕 机 死 机 （ 表 现 为 主 机 宕 机 或 死 锁 或 重 启 ） p s   a u x | h e a d   - 1 ; p s   a u x | g r e p   - v   P I D | s o r t   - r n   - k   + 3 | h e a d     #   查 看 C P U 使 用 前 十 名 t o p   # 查 看 进 程 性 能 资 源 消 耗 d m e s g   - T   # 按 时 间 点 查 看 内 核 日 志 d m e s g   - T   |   g r e p   m e m o r y   # 查 看 和 内 存 相 关 的 日 志 记 录 d m e s g   - T   |   g r e p   c r a s h   # 查 看 和 崩 溃 相 关 的 日 志 记 录 d m e s g   - T   |   g r e p   r e b o o t   # 查 看 和 重 启 相 关 的 日 志 记 录 c a t   / v a r / l o g / d m e s g   # 内 核 日 志 c a t   / v a r / l o g / s y s l o g   # 系 统 日 志 c a t   / v a r / l o g / k e r n e l . l o g   # 内 核 日 志 （ U b u n t u 下 是 k e r n . l o g ）
断 网 断 连 排 查 （ 变 现 为 网 络 不 通 或 间 断 性 连 通 ） 断 网 断 连 排 查 （ 变 现 为 网 络 不 通 或 间 断 性 连 通 ） 应 用 服 务 问 题 诊 断 （ 小 本 本 记 起 来 ） 应 用 服 务 问 题 诊 断 （ 小 本 本 记 起 来 ） 入 侵 点 入 侵 特 征 排 查 入 侵 点 入 侵 特 征 排 查 可 以 登 录 和 爆 破 排 查 可 以 登 录 和 爆 破 排 查 漏 洞 利 用 入 侵 及 后 渗 透 特 征 漏 洞 利 用 入 侵 及 后 渗 透 特 征 i p t a b l e s   - L   # 查 看 防 火 墙 c a t   / e t c / r e s o l v . c o n f   # 查 看 域 名 解 析 i f c o n f i g   - a   # 查 看 网 卡 信 息 H T T P                   / v a r / l o g / h t t p d / a c c e s s . l o g   # 或 者 是 H T T P 服 务 器 配 置 文 件 中 的 日 志 路 径 F T P                       / v a r / l o g / v s f t p . l o g   # 或 者 是 同 路 径 下 的 x f e r l o g S q u i d                   / v a r / l o g / s q u i d   # 或 者 是 s q u i d . a c c e s s . l o g N F S                       / v a r / l o g / n f s I P T A B L E S       / v a r / l o g / i p t a b l e s / … … S a m b a                 / v a r / l o g / s a m b a D N S                       / v a r / l o g / m e s s a g e D H C P                   / v a r / l o g / m e s s a g e   # 或 者 / v a r / l i b / d h c p / d b / d h c p d . l e a s e s M a i l                         / v a r / l o g / m a i l l o g # #     可 疑 网 络 通 信 及 进 程 排 查     # # n e t s t a t   - a n t l o p     # 查 看 异 常 连 接 和 对 应 的 进 程 、 文 件 p s   - e f   # 查 看 进 程 信 息 p s   a u x   #   查 看 进 程 信 息 l s o f   # 查 看 进 程 关 联 账 户 信 息 l s o f   - g   p i d l a s t   # 登 录 或 重 启 日 志 l a s t b   # 登 录 失 败 日 志   或 者 是 / v a r / l o g / f a i l l o g w h o   / v a r / l o g / w t m p   # 登 录 日 志     另 外 可 以       l a s t   - f   / v a r / r u n / u t m p c a t   / v a r / l o g / l a s t l o g     # 最 后 的 登 录 日 志 c a t   / v a r / l o g / s e c u r e     # 安 全 日 志 c a t   / v a r / l o g / c r o n     # 计 划 任 务 日 志 c a t   ~ / . b a s h _ h i s t o r y   |   m o r e     # 历 史 操 作 g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / a u t h . l o g   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - n r   |   m o r e     # 查 看 r o o t 账 户 登 录 爆 破 尝 试 g r e p   " A c c e p t e d "   / v a r / l o g / a u t h . l o g   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   | u n i q   - c   |   s o r t   - n r   |   m o r e   # 查 看 登 录 成 功 日 志 信 息 s t r i n g s   / u s r / b i n / . s s h d   |   e g r e p   ' [ 1 - 9 ] { 1 , 3 } . [ 1 - 9 ] { 1 , 3 } . '       # 查 看 s s h d 的 信 息   检 查 ~ / . s s h / 目 录 下 有 没 有 异 常 的 文 件 （ 密 钥 文 件 ） r e d i s 未 授 权 访 问 等 检 查 / e t c / p a s s w d   以 及   / e t c / s h a w d o w 有 没 有 异 常 账 户 和 权 限 检 查 / e t c / r c . l o c a l   查 看 开 机 启 动 项 检 查 / u s r / b i n   / u s r / s b i n   / b i n 等 敏 感 目 录 （ 命 令 文 件 所 在 目 录 ） 检 查 / t m p   临 时 文 件 检 查 能 登 录 用 户 c a t   / e t c / p a s s w d   |   g r e p   - E   " / b i n / b a s h $ "   检 查 环 境 变 量 e c h o   $ P A T H 检 查 / e t c / i n i t . d / r c . l o c a l   和   / e t c / s s h 等 等
w e b 入 侵 点 检 查 入 侵 点 检 查 根 据 历 史 经 验 查 看 根 据 历 史 经 验 查 看 a c c e s s . l o g   可 以 使 用 可 以 使 用 h t t p s : / / g i t h u b . c o m / c i s p / A c c e s s L o g A n y l a s t 工 具 进 行 分 析 工 具 进 行 分 析 ( 本 人 开 发 维 护 本 人 开 发 维 护 ) ； ； 附 录 一 ： 附 录 一 ： 部 分 后 门 文 件 删 除 是 要 先 修 改 权 限 为 0 0 0 r o o k i t H u n t e r   详 细 使 用 部 分 - - 引 用 自 ： h t t p s : / / y q . a l i y u n . c o m / z i l i a o / 7 5 3 4 9 本 文 章 源 自 挖 洞 的 土 拨 鼠   # w e b s h e l l 查 找 f i n d   / v a r / w w w /   - n a m e   " * . p h p "   |   x a r g s   e g r e p   ' a s s e r t   |   p h p s p y   |   c 9 9 s h   |   m i l w 0 r m   |   e v a l   |   (   g u n e r p r e s s   |   ( b a s 4 6 4 _ e n c o d e   |   s p i d e r   _ b c   |   s h e l l _ e x e c   |   p a s s t h r u   |   ( $ _ P O S T [ | e v a l ( s t r _ r o t l 3   #   脚 本 文 件 打 包 f i n d   / v a r / w w w / h t m l /     | g r e p   - E   " . a s p $ | . a s p x $ | . j s p $ | . j s p x $ | . j s p f $ | . p h p $ | . p h p 3 $ | . p h p 4 $ | . p h p 5 $ | . i n c $ | . p h t m l $ | . j a r $ | . w a r $ | . p l $ | . p y $ | . c e r $ | . a s a $ | . c d x $ | . a s h x $ | . a s c x $ | . c f m $ | . c g i $   " | x a r g s   t a r   z c v f   / t m p / s h e l l s c r i p t . t a r . g z #     文 件 查 找 的 相 关 命 令 ： s u d o   f i n d   /   - m t i m e ( a t i m e / c t i m e )   - x       # 按 照 创 建 、 修 改 时 间 查 找 s u d o   f i n d   . /   - p e r m   4 7 7 7     # 按 照 权 限 查 找 文 件 f i n d     . /   - m t i m e   - 1   - t y p e   f   # 按 照 文 件 类 型 查 找
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.719453 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表