搜索

[21955] 2021-05-10_11个步骤完美排查服务器是否已经被入侵

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-05-10_11个步骤完美排查服务器是否已经被入侵 1 1 1   个 步 骤 完 美   排 查 服 务 器   是 否 已 经 被 入 侵 L i n u x 就 该 这 么 学   L e m o n S e c   2 0 2 1 - 0 5 - 1 0 来 源 ： h t t p s : / / u r l i f y . c n / Z j i Q J 3 随 着 开 源 产 品 的 越 来 越 盛 行 ， 作 为 一 个 L i n u x 运 维 工 程 师 ， 能 够 清 晰 地 鉴 别 异 常 机 器 是 否 已 经 被 入 侵 了 显 得 至 关 重 要 ， 个 人 结 合 自 己 的 工 作 经 历 ， 整 理 了 几 种 常 见 的 机 器 被 黑 情 况 供 参 考 ： 背 景 信 息 ： 以 下 情 况 是 在 C e n t O S   6 . 9 的 系 统 中 查 看 的 ， 其 它 L i n u x 发 行 版 类 似 。 入 侵 者 入 侵 者 可 能 会 删 除 机 器 的 日 志 信 息 可 能 会 删 除 机 器 的 日 志 信 息 可 以 查 看 日 志 信 息 是 否 还 存 在 或 者 是 否 被 清 空 ， 相 关 命 令 示 例 ：
2 3 入 侵 者 入 侵 者 可 能 创 建 一 个 新 的 存 放 用 户 名 及 密 码 文 件 可 能 创 建 一 个 新 的 存 放 用 户 名 及 密 码 文 件 可 以 查 看 / e t c / p a s s w d 及 / e t c / s h a d o w 文 件 ， 相 关 命 令 示 例 ： 入 侵 者 入 侵 者 可 能 修 改 用 户 名 及 密 码 文 件 可 能 修 改 用 户 名 及 密 码 文 件 可 以 查 看 / e t c / p a s s w d 及 / e t c / s h a d o w 文 件 内 容 进 行 鉴 别 ， 相 关 命 令 示 例 ：
4 5 6 查 看 查 看 机 器 最 近 成 功 登 陆 的 事 件 和 最 后 一 次 不 成 功 的 登 陆 事 件 机 器 最 近 成 功 登 陆 的 事 件 和 最 后 一 次 不 成 功 的 登 陆 事 件 对 应 日 志 “ / v a r / l o g / l a s t l o g ” ， 相 关 命 令 示 例 ： 查 看 查 看 机 器 当 前 登 录 的 全 部 用 户 机 器 当 前 登 录 的 全 部 用 户 对 应 日 志 文 件 “ / v a r / r u n / u t m p ” ， 相 关 命 令 示 例 ： 查 看 查 看 机 机 器 创 建 以 来 登 陆 过 的 用 户 器 创 建 以 来 登 陆 过 的 用 户
7 8 9 对 应 日 志 文 件 “ / v a r / l o g / w t m p ” ， 相 关 命 令 示 例 ： 查 看 查 看 机 器 所 有 用 户 的 连 接 时 间 （ 小 时 ） 机 器 所 有 用 户 的 连 接 时 间 （ 小 时 ） 对 应 日 志 文 件 “ / v a r / l o g / w t m p ” ， 相 关 命 令 示 例 ： 如 果 如 果 发 现 机 器 产 生 了 异 常 流 量 发 现 机 器 产 生 了 异 常 流 量 可 以 使 用 命 令 “ t c p d u m p ” 抓 取 网 络 包 查 看 流 量 情 况 或 者 使 用 工 具 ” i p e r f ” 查 看 流 量 情 况 可 以 查 看 可 以 查 看 / v a r / l o g / s e c u r e 日 志 文 件 日 志 文 件 尝 试 发 现 入 侵 者 的 信 息 ， 相 关 命 令 示 例 ：
1 0 1 1 查 询 异 常 进 程 所 对 应 的 执 行 脚 本 文 件 查 询 异 常 进 程 所 对 应 的 执 行 脚 本 文 件 a . t o p 命 令 查 看 异 常 进 程 对 应 的 P I D b . 在 虚 拟 文 件 系 统 目 录 查 找 该 进 程 的 可 执 行 文 件 如 果 确 认 机 器 已 被 入 侵 ， 重 要 文 件 已 被 删 除 ， 可 以 尝 试 找 回 被 删 除 的 文 件 如 果 确 认 机 器 已 被 入 侵 ， 重 要 文 件 已 被 删 除 ， 可 以 尝 试 找 回 被 删 除 的 文 件 N o t e : 1 、 当 进 程 打 开 了 某 个 文 件 时 ， 只 要 该 进 程 保 持 打 开 该 文 件 ， 即 使 将 其 删 除 ， 它 依 然 存 在 于 磁 盘 中 。 这 意 味 着 ， 进 程 并 不 知 道 文 件 已 经 被 删 除 ， 它 仍 然 可 以 向 打 开 该 文 件 时 提 供 给 它 的 文 件 描 述 符 进 行 读 取 和 写 入 。 除 了 该 进 程 之 外 ， 这 个 文 件 是 不 可 见 的 ， 因 为 已 经 删 除 了 其 相 应 的 目 录 索 引 节 点 。
2 、 在 / p r o c   目 录 下 ， 其 中 包 含 了 反 映 内 核 和 进 程 树 的 各 种 文 件 。 / p r o c 目 录 挂 载 的 是 在 内 存 中 所 映 射 的 一 块 区 域 ， 所 以 这 些 文 件 和 目 录 并 不 存 在 于 磁 盘 中 ， 因 此 当 我 们 对 这 些 文 件 进 行 读 取 和 写 入 时 ， 实 际 上 是 在 从 内 存 中 获 取 相 关 信 息 。 大 多 数 与   l s o f   相 关 的 信 息 都 存 储 于 以 进 程 的   P I D   命 名 的 目 录 中 ， 即   / p r o c / 1 2 3 4   中 包 含 的 是   P I D   为   1 2 3 4   的 进 程 的 信 息 。 每 个 进 程 目 录 中 存 在 着 各 种 文 件 ， 它 们 可 以 使 得 应 用 程 序 简 单 地 了 解 进 程 的 内 存 空 间 、 文 件 描 述 符 列 表 、 指 向 磁 盘 上 的 文 件 的 符 号 链 接 和 其 他 系 统 信 息 。 l s o f   程 序 使 用 该 信 息 和 其 他 关 于 内 核 内 部 状 态 的 信 息 来 产 生 其 输 出 。 所 以 l s o f   可 以 显 示 进 程 的 文 件 描 述 符 和 相 关 的 文 件 名 等 信 息 。 也 就 是 我 们 通 过 访 问 进 程 的 文 件 描 述 符 可 以 找 到 该 文 件 的 相 关 信 息 。 3 、 当 系 统 中 的 某 个 文 件 被 意 外 地 删 除 了 ， 只 要 这 个 时 候 系 统 中 还 有 进 程 正 在 访 问 该 文 件 ， 那 么 我 们 就 可 以 通 过 l s o f 从 / p r o c 目 录 下 恢 复 该 文 件 的 内 容 。 假 设 入 侵 者 将 / v a r / l o g / s e c u r e 文 件 删 除 掉 了 ， 尝 试 将 / v a r / l o g / s e c u r e 文 件 恢 复 的 方 法 可 以 参 考 如 下 ： a . 查 看 / v a r / l o g / s e c u r e 文 件 ， 发 现 已 经 没 有 该 文 件 b . 使 用 l s o f 命 令 查 看 当 前 是 否 有 进 程 打 开 / v a r / l o g / s e c u r e ， c . 从 上 面 的 信 息 可 以 看 到   P I D   1 2 6 4 （ r s y s l o g d ） 打 开 文 件 的 文 件 描 述 符 为 4 。 同 时 还 可 以 看 到 / v a r / l o g /   s e c u r e 已 经 标 记 为 被 删 除 了 。 因 此 我 们 可 以 在 / p r o c / 1 2 6 4 / f d / 4 （ f d 下 的 每 个 以 数 字 命 名 的 文 件 表 示 进 程 对 应 的 文 件 描 述 符 ） 中 查 看 相 应 的 信 息 ， 如 下 ：
d . 从 上 面 的 信 息 可 以 看 出 ， 查 看 / p r o c / 1 2 6 4 / f d / 4 就 可 以 得 到 所 要 恢 复 的 数 据 。 如 果 可 以 通 过 文 件 描 述 符 查 看 相 应 的 数 据 ， 那 么 就 可 以 使 用 I / O 重 定 向 将 其 重 定 向 到 文 件 中 ， 如 : e . 再 次 查 看 / v a r / l o g / s e c u r e ， 发 现 该 文 件 已 经 存 在 。 对 于 许 多 应 用 程 序 ， 尤 其 是 日 志 文 件 和 数 据 库 ， 这 种 恢 复 删 除 文 件 的 方 法 非 常 有 用 。
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理