搜索

[18819] 2020-08-27_应急响应手册-Linux排查流程

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-27_应急响应手册-Linux排查流程 应 急 响 应 手 册 - L i n u x 排 查 流 程 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 8 - 2 7 收 录 于 话 题   # 应 急 响 应   , 2 6 个 0 1 — 查 看 系 统 完 整 性 c e n t o s : r p m   - V a : 检 验 系 统 中 所 有 使 用 r p m 安 装 的 软 件 包 相 关 的 完 整 性 d e b i a n ： ： d p k g   - V a : 检 验 系 统 中 所 有 使 用 d p k g 安 装 的 软 件 包 相 关 的 完 整 性 状 态 位 说 明 ： S   表 示 文 件 长 度 发 生 了 变 化 M   表 示 文 件 的 访 问 权 限 或 文 件 类 型 发 生 了 变 化 5   表 示 M D 5 校 验 和 发 生 了 变 化 D   表 示 设 备 节 点 的 属 性 发 生 了 变 化 L   表 示 文 件 的 符 号 链 接 发 生 了 变 化 U   表 示 文 件 / 子 目 录 /   设 备 节 点 的 o w n e r   发 生 了 变 化 G   表 示 文 件 / 子 目 录 /   设 备 节 点 的 g r o u p   发 生 了 变 化 T   表 示 文 件 最 后 一 次 的 修 改 时 间 是 发 生 了 变 化 0 2 — 计 划 任 务 L i n u x 下 计 划 任 务 相 关 文 件 如 下 ： / e t c / c r o n t a b / e t c / c r o n . d / *
/ e t c / c r o n . d a i l y / * / e t c / c r o n . m o n t h l y / * / e t c / c r o n . w e e k l y / * / v a r / s p o o l / c r o n / * 若 相 关 文 件 发 生 变 化 ， 则 应 当 使 用   c a t   命 令 去 查 看 对 应 的 配 置 项 ， 根 据 内 容 来 判 断 是 否 包 含 恶 意 程 序 的 启 动 项 。 0 3 — 启 动 项 / 服 务 L i n u x 下 的 开 机 启 动 项 文 件 如 下 : / e t c / i n i t . d / * / e t c / r c . l o c a l / e t c / r c 0 . d / * / e t c / r c 1 . d / * / e t c / r c 2 . d / * / e t c / r c 3 . d / * / e t c / r c 4 . d / * / e t c / r c 5 . d / * / e t c / r c 6 . d / * / e t c / i n i t / r c . d /   在 C e n t O S   7 上 利 用 s y s t e m c t l 添 加 自 定 义 系 统 服 务 ， 服 务 s y s t e m c t l 脚 本 存 放 在 ： / u s r / l i b / s y s t e m d / ， 有 系 统 （ s y s t e m ） 和 用 户 （ u s e r ） 之 分 ， 像 需 要 开 机 不 登 陆 就 能 运 行 的 程 序 ， 还 是 存 在 系 统 服 务 里 吧 ， 即 ： / u s r / l i b / s y s t e m d / s y s t e m 目 录 下 。 0 4 — 进 程 p s     - a u x     - - s o r t = s t a r t _ t i m e : 将 进 程 以 执 行 时 间 排 序 p s     - a u x f   ： 将 进 程 以 树 形 排 列 ， 可 以 清 晰 的 看 到 进 程 父 进 程
t o p 命 令 是   L i n u x   下 常 用 的 性 能 分 析 工 具 ， 能 够 实 时 显 示 系 统 中 各 个 进 程 的 资 源 占 用 状 况 ， 默 认 根 据 c p u   使 用 率 来 排 序 ， 如 下 图 ， 其 中 占 用   c p u   量 由 大 到 小 排 序 ， 有 些 恶 意   程 序 ， 如   d d o s   程 序 ， m i n e r   挖 矿 机 程 序 等 较 为 占 用 系 统   c p u   资 源 ， 可 以 用   t o p 命 令 迅 速 查   找 出 来 。                                                       / p r o c / 目 录 目 录 / p r o c 目 录 中 包 含 许 多 以 数 字 命 名 的 子 目 录 ， 这 些 数 字 表 示 系 统 当 前 正 在 运 行 进 程 的 进 程 号 ， 里 面 包 含 对 应 进 程 相 关 的 多 个 信 息 文 件 。 上 面 列 出 的 是 / p r o c 目 录 中 一 些 进 程 相 关 的 目 录 ， 每 个 目 录 中 是 进 程 本 身 相 关 信 息 的 文 件 。 下 面 是 一 个 P I D 为 4 4 5 6 的 进 程 m y s q l 的 相 关 文 件 ， 其 中 有 些 文 件 是 每 个 进 程 都 会 具 有 的 ， 以 下 对 这 些 常 见 文 件 做 出 说 明 。 [ r o o t @ l u o s h u a n g   ~ ] # l s   - a l t r   / p r o c / 4 4 5 6 / t o t a l   0 d r - x r - x r - x   2 5 1   r o o t r o o t   0   A u g     9   2 2 : 4 6   . . d r - x r - x r - x       9   r o o t   r o o t   0   A u g   1 0   0 1 : 3 7   . - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 1 : 3 7   s t a t u s - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 1 : 3 7   c m d l i n e - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 3   s t a t d r - x - - - - - -       2   r o o t   r o o t   0   A u g   1 0   0 3 : 1 3   f d - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 3   s t a t m - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   w c h a n - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   u i d _ m a p
- r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   t i m e r s d r - x r - x r - x       3   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   t a s k - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s y s c a l l - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s t a c k - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s m a p s - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s e t g r o u p s - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s e s s i o n i d - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s c h e d s t a t - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   s c h e d l r w x r w x r w x       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   r o o t   - >   / - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   p r o j i d _ m a p - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   p e r s o n a l i t y - r - - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   p a t c h _ s t a t e - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   p a g e m a p - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   o o m _ s c o r e _ a d j - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   o o m _ s c o r e - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   o o m _ a d j - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   n u m a _ m a p s d r - x - - x - - x       2   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   n s d r - x r - x r - x       6   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   n e t - r - - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   m o u n t s t a t s - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   m o u n t s - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   m o u n t i n f o - r w - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   m e m - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   m a p s d r - x - - - - - -       2   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   m a p _ f i l e s - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   l o g i n u i d - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   l i m i t s - r - - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   i o - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   g i d _ m a p d r - x - - - - - -       2   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   f d i n f o l r w x r w x r w x       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   e x e   - > / u s r / b i n / m y s q l - r - - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   e n v i r o n l r w x r w x r w x       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   c w d   - >   / r o o t - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   c p u s e t - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   c o r e d u m p _ f i l t e r - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   c o m m - - w - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   c l e a r _ r e f s - r - - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   c g r o u p - r - - - - - - - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   a u x v - r w - r - - r - -       1   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   a u t o g r o u p d r - x r - x r - x       2   r o o t   r o o t   0   A u g   1 0   0 3 : 1 5   a t t r   c m d l i n e   — 启 动 当 前 进 程 的 完 整 命 令 ， 但 僵 尸 进 程 目 录 中 的 此 文 件 不 包 含 任 何 信 息 ； c w d   —   指 向 当 前 进 程 运 行 目 录 的 一 个 符 号 链 接 ； e n v i r o n   — 当 前 进 程 的 环 境 变 量 列 表 ， 彼 此 间 用 空 字 符 （ N U L L ） 隔 开 ； 变 量 用 大 写 字 母 表 示 ， 其 值 用 小 写 字 母 表 示 ； e x e   —   指 向 启 动 当 前 进 程 的 可 执 行 文 件 （ 完 整 路 径 ） 的 符 号 链 接 ， 通 过 / p r o c / N / e x e 可 以 启 动 当 前 进 程 的 一 个 拷 贝 ； f d   —   这 是 个 目 录 ， 包 含 当 前 进 程 打 开 的 每 一 个 文 件 的 文 件 描 述 符 （ f i l e   d e s c r i p t o r ） ， 这 些 文 件 描 述 符 是 指 向 实 际 文 件 的 一 个 符 号 链 接 l i m i t s   —   当 前 进 程 所 使 用 的 每 一 个 受 限 资 源 的 软 限 制 、 硬 限 制 和 管 理 单 元 ； 此 文 件 仅 可 由 实 际 启 动 当 前 进 程 的 U I D 用 户 读 取 ； （ 2 . 6 . 2 4 以 后 的 内 核 版 本 支 持 此 功 能 ） ； m a p s   —   当 前 进 程 关 联 到 的 每 个 可 执 行 文 件 和 库 文 件 在 内 存 中 的 映 射 区 域 及 其 访 问 权 限 所 组 成 的 列 表 ；
m e m   —   当 前 进 程 所 占 用 的 内 存 空 间 ， 由 o p e n 、 r e a d 和 l s e e k 等 系 统 调 用 使 用 ， 不 能 被 用 户 读 取 ； r o o t   —   指 向 当 前 进 程 运 行 根 目 录 的 符 号 链 接 ； 在 U n i x 和 L i n u x 系 统 上 ， 通 常 采 用 c h r o o t 命 令 使 每 个 进 程 运 行 于 独 立 的 根 目 录 ； s t a t   —   当 前 进 程 的 状 态 信 息 ， 包 含 一 系 统 格 式 化 后 的 数 据 列 ， 可 读 性 差 ， 通 常 由 p s 命 令 使 用 ； s t a t m   —   当 前 进 程 占 用 内 存 的 状 态 信 息 ， 通 常 以 “ 页 面 ” （ p a g e ） 表 示 ； s t a t u s   —   与 s t a t 所 提 供 信 息 类 似 ， 但 可 读 性 较 好 ； t a s k   —   目 录 文 件 ， 包 含 由 当 前 进 程 所 运 行 的 每 一 个 线 程 的 相 关 信 息 ， 每 个 线 程 的 相 关 信 息 文 件 均 保 存 在 一 个 由 线 程 号 （ t i d ） 命 名 的 目 录 中 ， 这 类 似 于 其 内 容 类 似 于 每 个 进 程 目 录 中 的 内 容 ； （ 内 核 2 . 6 版 本 以 后 支 持 此 功 能 ）   恶 意 进 程 判 断 依 据 ： 1 . 进 程 名 以 随 机 数 字 组 成 2 . 进 程 名 称 为 空 3 . 进 程 名 称 与 正 常 名 称 稍 微 不 同 ， 如 . s s h d   进 程 ， 普 通 进 程 为   s s h d   进 程 0 5 — 网 络 连 接 n e t s t a t   命 令 用 来 打 印   L i n u x   中 网 络 系 统 的 状 态 信 息 ， 可 让 你 得 知 整 个   L i n u x   系 统 的 网   络 情 况 。 n e t s t a t   - l n p : 使 用 该 命 令 可 以 查 看 系 统 中 所 有 开 放 的 端 口 ， 包 括   t c p   端 口 和   u d p   端 口 。   s s   命 令 用 于 显 示   s o c k e t   状 态 .   他 可 以 显 示 P A C K E T   s o c k e t s , T C P   s o c k e t s , U D P s o c k e t s , D C C P s o c k e t s , R A W s o c k e t s , U n i x d o m a i n s o c k e t s   等 等 统 计 .   它 比 其 他 工 具 展 示 等 多   t c p   和   s t a t e   信 息 .   它 是 一 个 非 常 实 用 、 快 速 、 有 效 的 跟 踪   I P   连 接 和   s o c k e t s   的 新 工 具 。 s s - l n t p : 查 看 网 络 连 接 0 6 — 查 找 木 马 相 关 文 件 f i n d   命 令 ： 命 令 ： 可 以 用 于   w e b s h e l l   的 排 查 ， 也 可 用 于 木 马 相 关 文 件 排 查 ， f i n d   命 令 用 来 在   指 定 目 录 下 查 找 文 件 。 任 何 位 于 参 数 之 前 的 字 符 串 都 将 被 视 为 欲 查 找 的 目 录 名 。 如 果 使 用 该   命 令 时 ， 不 设 置 任 何 参 数 ， 则   f i n d   命 令 将 在 当 前 目 录 下 查 找 子 目 录 与 文 件 。 并 且 将 查 找 到 的   子 目 录 和 文 件 全 部 进 行 显 示 。 查 找 隐 藏 文 件 或 隐 藏 文 件 夹 ：
[ r o o t @ l u o s h u a n g ] # f i n d   /   - n a m e   " . * " 查 找 被 修 改 的 时 间 大 于 一 天 小 于 3 0   天 内 的 文 件 ， 可 以 指 定 到 攻 击 发 生 的 时 间 段 ： [ r o o t @ l u o s h u a n g ] # f i n d   /   - m t i m e   + 1   - m t i m e   - 3 0 查 找 除 w o r d p r e s s   目 录 外 的 名 称 符 合 * . p h p   正 则 的 文 件 ， 并 且 大 小 小 于   2 k ， 修 改 时 间 在 5   天 内 ， 这 个 可 用 于 查 找   w e b s h e l l [ r o o t @ t e s t   h t m l ] #   f i n d . /     - p a t h   " . / w o r d p r e s s "   - a   - p r u n e - o   - n a m e   " * . p h p "   - t y p e f - s i z e   - 2 k   - m t i m e   - 5 ;   0 7 — 动 态 链 接 库 动 态 链 接 库 是 以 . s o   为 后 缀 的 相 关 文 件   以 及 / e t c / l d . s o . p r e l o a d   配 置 文 件   L D _ P R E L O A D   环 境 变 量 ， 因 为 恶 意 动 态 链 接 库 一 般 都 有 隐 藏 / e t c / l d . s o . p r e l o a d   文 件 的 功 能 ， 我 们 使 用 普 通 的   l s , c a t   等 命 令 无 法 读 取 对 应 配 置 文 件 的 内 容 ， 此 时 我 们 可 以 使 用 静 态 编 译 的   l s   命 令 , c a t   命 令   （ 推 荐 使 用 b u s y b o x   自 带 命 令 ) 来 绕 过 预 加 载 的 恶 意 动 态 链 接 库 ， 如 果 没 有   l s   命 令   c a t   命 令 ，   有 时 候 将 l s   命 令 和   c a t   命 令 改 成 其 他 任 意 字 符 也 可 以 绕 过 恶 意 动 态 链 接 库 的 隐 藏 ， 主 要 得 看 恶 意 动 态 链 接 库 具 体 实 现 方 式 。 b u d y b o x 下 载 地 址 ： h t t p s : / / b u s y b o x . n e t / d o w n l o a d s / b i n a r i e s / 1 . 3 0 . 0 - i 6 8 6 / b u s y b o x 0 7 — 用 户 L i n u x 下 用 户 相 关 文 件 为 / e t c / p a s s w d 查 看 当 前 系 统 可 以 登 录 的 用 户 [ r o o t @ l u o s h u a n g   ~ ] # c a t   / e t c / p a s s w d   |   g r e p   - v   " / s b i n / n o l o g i n "   |   g r e p   - v " / b i n / f a l s e " 查 看 当 前 系 统 u i d 为 0 的 用 户 [ r o o t @ l u o s h u a n g   ~ ] # a w k   - F :   ' {   i f ( $ 3   = =   0 )   p r i n t   $ 1   } '   / e t c / p a s s w d 0 8 — 历 史 命 令 系 统 所 输 入 的 命 令 历 史 记 录 ： （ 1 ） h i s t o r y 查 看 b a s h 历 史 记 录 （ 2 ） . b a s h _ h i s t o r y 文 件 h i s t o r y 显 示 内 存 和 ~ / . b a s h _ h i s t o r y 中 的 所 有 内 容 ； 内 存 中 的 内 容 并 没 有 立 刻 写 入 ~ / . b a s h _ h i s t o r y ， 只 有 当 当 前 s h e l l 关 闭 时 才 会 将 内 存 内 容 写 入 s h e l l 。 清 除 h i s t o r y 记 录
注 : 清 除 h i s t o r y 之 后 ， . b a s h _ h i s t o r y 里 仍 会 有 历 史 记 录
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理