搜索

[12155] 2017-12-24_快速自检电脑是否被黑客入侵过（Linux版）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-12-24_快速自检电脑是否被黑客入侵过（Linux版） 快 速 自 检 电 脑 是 否 被 黑 客 入 侵 过 （ L i n u x 版 ） 原 创   有 价 值 炮 灰   F r e e B u f   2 0 1 7 - 1 2 - 2 4 * 本 文 作 者 ： 有 价 值 炮 灰 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 之 前 写 了 一 篇 《 快 速 自 检 电 脑 是 否 被 黑 客 入 侵 过 （ 之 前 写 了 一 篇 《 快 速 自 检 电 脑 是 否 被 黑 客 入 侵 过 （ W i n d o w s 版 ） 》 版 ） 》 ,   这 次 就 来 写 写 这 次 就 来 写 写 L i n u x 版 本 的 。 版 本 的 。 前 言 前 言 严 谨 地 说 ,   L i n u x 只 是 一 个 内 核 ,   才 算 完 整 的 操 作 系 统 ,   但 在 本 文 里 还 是 用 通 俗 的 叫 法 , 把 , , , , 等 发 行 版 都 统 称 为 . 本 文 里 所 说 的 方 法 不 仅 对 L i n u x 的 发 行 版 适 用 ,   部 分 方 法 对 操 作 系 统 也 是 适 用 的 . 异 常 的 帐 号 和 权 限 异 常 的 帐 号 和 权 限 如 果 黑 客 曾 经 获 得 过 命 令 运 行 的 机 会 ,   对 方 往 往 会 想 要 将 这 个 机 会 持 续 下 去 ,   业 内 称 之 为 . 而 创 建 后 门 帐 号 ,   往 往 是 一 个 持 久 化 的 途 径 . 检 查 异 常 帐 号 检 查 异 常 帐 号 搜 寻 用 户 搜 寻 用 户 可 以 看 到 当 前 系 统 中 的 所 有 用 户 和 对 应 的 组 信 息 ,   如 果 帐 号 太 多 一 眼 看 不 过 来 , 我 通 常 会 用 下 述 方 法 筛 选 : 改 命 令 的 作 用 是 打 印 所 有 类 型 的 s h e l l 和 对 应 的 数 量 ,   对 于 有 s h e l l 的 用 户 ,   要 仔 细 检 查 . 检 查 用 户 检 查 用 户 如 果 上 一 步 获 得 了 某 个 异 常 的 用 户 名 ( 假 设 为 ) ,   可 以 用 以 下 方 法 详 细 检 查 该 用 户 : 查 看 用 户 i d 和 组 信 息 :   i d   h a c k e r 查 看 用 户 最 近 登 录 信 息 :   l a s t l o g   - u   h a c k e r 查 看 用 户 历 史 登 录 信 息 :   l a s t   h a c k e r 查 看 用 户 登 录 失 败 信 息 :   l a s t b   h a c k e r 查 看 综 合 信 息 :   f i n g e r   h a c k e r 注 :   命 令 在 某 些 操 作 系 统 里 不 是 内 置 的 ,   可 以 自 行 用 包 管 理 工 具 安 装 ,   如 : U b u n t u / D e b i a n :   a p t - g e t   i n s t a l l   f i n g e r G N U   L i n u x U b u n t u D e b i a n R e d H a t C e n t O S A r c h L i n u x L i n u x M a c   O S X 持 久 化 ( p e r s i s t e n c e ) c a t   / e t c / p a s s w d c a t   / e t c / p a s s w d   |   a w k   - F :   ' { p r i n t   $ 7 } '   |   s o r t   |   u n i q   - c h a c k e r f i n g e r
C e n t O S / R e d H a t :   y u m   i n s t a l l   f i n g e r A r c h L i n u x :   p a c m a n   - S   f i n g e r 下 面 提 到 的 其 他 非 内 置 命 令 类 似 检 查 异 常 权 限 检 查 异 常 权 限 一 般 的 L i n u x 用 户 都 会 用 来 让 普 通 用 户 可 以 执 行 r o o t 操 作 ,   因 此 对 于 已 经 存 在 的 普 通 用 户 , 也 不 可 掉 以 轻 心 .   所 管 理 的 权 限 ,   在 以 及 中 可 以 查 看 , 最 好 经 常 检 查 改 文 件 以 确 保 没 有 普 通 用 户 获 得 了 意 外 的 权 限 .   对 于 每 个 普 通 用 户 , 可 以 用 命 令 来 查 询 其 所 属 的 组 ,   如 果 是 r o o t 或 者 s u d o 组 , 或 者 该 组 在 文 件 中 ,   那 就 要 格 外 警 觉 了 . 异 常 的 自 启 动 项 异 常 的 自 启 动 项 L i n u x 下 的 自 启 动 流 程 根 据 其 服 务 管 理 器 的 不 同 而 不 同 ,   常 用 的 有 以 下 三 种 : U p s t a r t U p s t a r t 是 基 于 事 件 的 , 用 来 取 代 古 老 的 / s b i n / i n i t 进 程 来 处 理 任 务 和 服 务 自 启 动 的 方 法 . 查 看 该 类 型 的 自 启 动 文 件 可 以 用 以 下 命 令 ： 查 看 所 有 自 启 动 项 目 :   查 看 某 个 自 启 动 项 目 :   S y s t e m V S y s t e m V 就 是 常 用 的 命 令 背 后 的 服 务 管 理 系 统 . 查 看 该 类 型 的 自 启 动 文 件 可 以 用 以 下 命 令 : 查 看 自 启 动 脚 本 :   查 看 运 行 级 别 的 符 号 链 接 :   S y s t e m D S y s t e m D 是 现 代 的 服 务 管 理 系 统 ,   比 较 新 的 L i n u x 版 都 已 经 迁 移 为 S y s t e m D 了 . 有 两 种 方 式 查 看 所 有 自 启 动 的 服 务 : 旧 版 本 的 L i n u x 一 般 是 U p s t a r t 和 S y s t e m V 混 用 ,   新 版 本 都 大 多 迁 移 到 S y s t e m D 了 . s u d o s u d o / e t c / s u d o e r s / e t c / s u d o e r s . d g r o u p s   u s e r n a m e / e t c / s u d o e r s i n i t c t l   l i s t i n i t c t l   s h o w - c o n f i g   e v i l s e r v i c e   s t a r t / s t o p / s t a t u s   x x x . s e r v i c e l s   / e t c / i n i t . d / l s   / e t c / r c * . d / s y s t e m c t l   l i s t - u n i t - f i l e s   - - t y p e = s e r v i c e l s   / l i b / s y s t e m d / s y s t e m / * . s e r v i c e   / e t c / s y s t e m d / s y s t e m / * . s e r v i c e
其 他 其 他 异 常 的 计 划 任 务 异 常 的 计 划 任 务 除 了 上 述 的 自 启 动 服 务 ,   L i n u x 下 还 可 以 通 过 计 划 任 务 来 进 行 持 久 化 运 行 ,   检 查 异 常 的 计 划 任 务 相 对 简 单 , 只 需 要 查 看 以 及 子 目 录 下 的 计 划 任 务 文 件 即 可 . b a s h 初 始 化 初 始 化 用 过 L i n u x 的 都 知 道 ,   在 文 件 里 可 以 进 行 初 始 化 配 置 并 应 用 于 每 个 s h e l l , 也 就 是 说 里 面 的 脚 本 在 每 次 新 开 一 个 t e r m i n a l 的 时 候 都 是 有 可 能 被 运 行 的 . 这 类 配 置 文 件 包 括 ,   ,   ,   等 等 . 其 是 否 运 行 以 及 运 行 的 顺 序 由 s h e l l 被 调 用 时 是 否 登 录 ,   以 及 是 否 交 互 运 行 来 决 定 , 对 于 b a s h 来 说 ,   执 行 流 程 如 下 表 : 其 中 执 行 顺 序 为 ,   B [ 1 2 3 ] 表 示 只 有 当 第 一 个 脚 本 存 在 时 候 才 会 执 行 .   用 流 程 图 表 示 如 下 : / e t c / c r o n t a b / e t c / c r o n . * $ H O M E / . b a s h r c . b a s h r c . b a s h _ p r o f i l e . b a s h _ l o g i n . p r o f i l e A - > B - > C
关 于 登 录 / 非 登 录 s h e l l 以 及 交 互 / 非 交 互 s h e l l 的 内 容 可 以 参 考 网 上 的 其 他 介 绍 ,   这 里 就 不 展 开 了 . 只 要 知 道 自 己 的 s h e l l 初 始 化 所 执 行 的 文 件 顺 序 ,   并 检 查 这 些 文 件 看 是 否 有 可 疑 命 令 ,   从 而 才 能 发 现 异 常 信 息 . 应 用 级 别 的 自 启 动 应 用 级 别 的 自 启 动 要 找 到 所 有 可 疑 的 自 启 动 项 是 困 难 的 ,   有 经 验 攻 击 者 可 以 修 改 现 有 的 自 启 动 脚 本 ,   额 外 拉 起 命 令 , 从 而 减 少 被 发 现 的 风 险 .   一 些 L i n u x 桌 面 版 本 也 会 负 责 运 行 类 似 的 自 启 动 命 令 ,   比 如 我 最 爱 的 x f c e , 在 就 可 以 添 加 自 启 动 的 应 用 . 异 常 的 记 录 异 常 的 记 录 异 常 的 命 令 历 史 记 录 异 常 的 命 令 历 史 记 录 一 般 而 言 ,   黑 客 获 取 s h e l l 之 后 会 在 上 面 执 行 某 些 命 令 ,   我 们 可 以 通 过 命 令 来 查 看 曾 经 运 行 过 的 命 令 . 或 者 直 接 查 看 文 件 .   聪 明 的 黑 客 干 完 坏 事 也 许 会 清 理 痕 迹 ,   但 如 果 发 现 h i s t o r y 被 恶 意 清 除 , 或 者 被 异 常 篡 改 ,   那 也 足 以 给 我 们 警 示 的 信 号 了 . 异 常 的 日 志 记 录 异 常 的 日 志 记 录 日 志 ,   尤 其 是 系 统 日 志 ,   是 我 们 绝 佳 的 帮 手 ,   下 面 一 些 命 令 可 以 用 来 读 取 日 志 文 件 并 输 出 相 关 信 息 : S e t t i n g s   - >   S e s s i o n   S t a r u p   - >   A p p l i c a t i o n   A u t o s t a r t h i s t o r y ~ / . b a s h _ h i s t o r y
查 看 每 个 用 户 最 近 的 登 录 时 间 和 i p :   查 看 每 个 用 户 的 登 录 记 录 :   查 看 每 个 用 户 的 登 录 尝 试 ( 包 括 失 败 的 ) 记 录 :   查 看 当 前 登 录 的 用 户 , i p 以 及 正 在 执 行 的 命 令 :   当 然 ,   有 心 的 攻 击 者 也 会 在 这 些 命 令 中 隐 藏 自 己 的 痕 迹 ,   比 如 使 用 小 工 具 h i d e m y a s s . 系 统 日 志 一 般 都 由 r s y s l o g d 进 程 产 生 ,   配 置 在 文 件 以 及 目 录 下 , 一 些 常 见 的 日 志 和 介 绍 如 下 : / v a r / l o g / m e s s a g e s :   一 般 的 系 统 日 志 / v a r / l o g / k e r n . l o g :   系 统 内 核 日 志 / v a r / l o g / b o o t . l o g :   系 统 启 动 日 志 / v a r / l o g / a u t h . l o g :   登 录 相 关 的 日 志 ,   比 如 s s h / s u d o 成 功 失 败 的 日 志 都 在 这 里 / v a r / l o g / s e c u r e :   同 上 / v a r / l o g / c r o n . d :   c r o n 计 划 任 务 的 执 行 日 志 通 过 检 查 上 述 日 志 ,   往 往 可 以 发 现 一 些 意 想 不 到 的 痕 迹 ( 如 果 有 的 话 ) . 犯 罪 现 场 犯 罪 现 场 虽 然 说 自 检 主 要 是 从 犯 罪 痕 迹 中 找 到 线 索 和 指 示 ,   但 有 时 候 攻 击 者 留 下 的 恶 意 软 件 还 是 会 正 在 运 行 中 的 , 这 时 ,   从 犯 罪 现 场 来 搜 寻 蛛 丝 马 迹 也 是 一 个 不 错 的 主 意 . 异 常 的 进 程 异 常 的 进 程 查 找 异 常 进 程 ,   可 以 用 命 令 查 看 正 在 运 行 的 程 序 所 占 用 的 资 源 ,   或 者 用 列 出 当 前 系 统 所 用 的 进 程 . 如 果 发 现 自 己 不 认 识 的 进 程 ,   可 以 用 以 下 命 令 进 行 详 细 的 检 查 : 查 看 该 进 程 启 动 的 完 整 命 令 行 :   查 看 该 进 程 启 动 时 候 所 在 的 目 录 :   查 看 该 进 程 启 动 时 的 完 整 环 境 变 量 :   列 出 该 进 程 所 打 开 的 所 有 文 件 :   列 出 该 进 程 所 打 开 的 网 络 连 接 :   当 然 ,   如 果 攻 击 者 用 某 种 手 段 隐 藏 了 进 程 ,   也 还 是 会 留 下 一 些 线 索 ,   比 如 可 疑 的 L K M 模 块 ,   这 里 就 不 深 入 了 . l a s t l o g l a s t l a s t b w / e t c / r s y s l o g . c o n f / e t c / r s y s l o g . d / t o p p s   - e f p s   e h o   c o m m a n d   - p   $ P I D r e a d l i n k   / p r o c / $ P I D / c w d s t r i n g s   - f   / p r o c / $ P I D / e n v i r o n   |   c u t   - f 2   - d   '   ' l s o f   - p   $ P I D n e t s t a t   - p a n   |   g r e p   $ P I D
异 常 的 网 络 流 量 异 常 的 网 络 流 量 如 果 某 个 恶 意 进 程 正 在 活 动 ,   很 可 能 此 时 正 在 与 外 界 网 络 有 交 流 ,   这 就 需 要 通 过 抓 包 工 具 来 进 行 分 析 了 . 对 于 L i n u x 桌 面 用 户 ,   w i r e s h a r k 是 个 绝 佳 选 择 ,   而 对 于 服 务 端 ,   t c p d u m p 是 个 好 工 具 ,   对 其 掌 握 也 是 很 必 要 的 . 以 w i r e s h a r k 为 例 ,   打 开 抓 包 几 分 钟 左 右 ,   通 过 内 置 的 过 滤 规 则 ,   加 上 上 面 分 析 到 的 应 用 所 打 开 的 网 络 连 接 , 就 可 以 看 到 这 个 恶 意 应 用 到 底 在 和 外 界 做 些 什 么 邪 恶 的 交 流 ,   从 而 及 时 评 估 损 失 和 保 护 数 据 . 除 了 恶 意 软 件 发 起 的 网 络 浏 览 ,   还 有 一 些 是 通 过 自 身 发 起 的 .   比 如 攻 击 者 修 改 了 i p t a b l e s , D N S , h t t p 代 理 , 或 者 ,   都 可 能 会 导 致 我 们 正 常 的 网 络 请 求 被 攻 击 者 监 听 并 篡 改 .   这 些 小 小 的 修 改 也 许 不 是 很 明 显 , 可 一 旦 发 现 自 身 网 络 环 境 ’ 不 太 对 劲 ’ ,   就 要 提 高 警 惕 ,   仔 细 排 查 了 . 后 记 后 记 使 用 L i n u x 作 为 日 常 桌 面 操 作 系 统 的 人 ,   一 般 都 是 有 一 定 的 技 术 水 平 ,   但 道 高 一 尺 ,   魔 高 一 丈 , 攻 击 L i n u x 的 人 对 应 地 技 术 水 平 也 会 高 些 ,   所 以 本 文 相 对 于 W i n d o w s 版 的 自 检 略 为 详 细 . 正 所 谓 ’ 未 知 攻 , 焉 知 防 ’ ,   本 文 很 多 自 检 方 法 也 是 根 据 笔 者 日 常 的 红 队 经 验 得 到 的 , 希 望 能 对 提 高 小 伙 伴 们 的 安 全 意 识 和 防 护 能 力 有 所 帮 助 吧 . * 本 文 作 者 ： 有 价 值 炮 灰 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 阅 读 原 文 / e t c / h o s t s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理