设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [1053] 2021-04-19_Linux手工入侵排查思路
返回列表 发新帖
查看: 6|回复: 0

[1053] 2021-04-19_Linux手工入侵排查思路

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2021-04-19_Linux手工入侵排查思路 L i n u x 手 工 入 侵 排 查 思 路 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 4 - 1 9 当 L i n u x 主 机 发 生 安 全 事 件 需 要 进 行 入 侵 排 查 时 ， 一 般 可 以 使 用 常 见 的 s h e l l 命 令 ， 通 过 分 析 主 机 的 异 常 现 象 、 进 程 端 口 、 启 动 方 式 、 可 疑 文 件 和 日 志 记 录 等 信 息 以 确 认 主 机 是 否 被 入 侵 。 在 这 里 ， 结 合 工 作 中 L i n u x 安 全 事 件 分 析 处 理 办 法 ， 总 结 了 L i n u x 手 工 入 侵 排 查 过 程 中 的 分 析 方 法 。 0 1 、 检 查 系 统 账 号 、 检 查 系 统 账 号 从 攻 击 者 的 角 度 来 说 ， 入 侵 者 在 入 侵 成 功 后 ， 往 往 会 留 下 后 门 以 便 再 次 访 问 被 入 侵 的 系 统 ， 而 创 建 系 统 账 号 是 一 种 比 较 常 见 的 后 门 方 式 。 在 做 入 侵 排 查 的 时 候 ， 用 户 配 置 文 件 / e t c / p a s s w d 和 密 码 配 置 文 件 / e t c / s h a d o w 是 需 要 去 重 点 关 注 的 地 方 。 （ 1 ） 查 询 特 权 用 户 特 权 用 户 ( u i d   为 0 ) （ 2 ） 查 询 可 以 远 程 登 录 的 帐 号 信 息 （ 3 ） 除 r o o t 帐 号 外 ， 其 他 帐 号 是 否 存 在 s u d o 权 限 。 如 非 管 理 需 要 ， 普 通 帐 号 应 删 除 s u d o 权 限 （ 4 ） 禁 用 或 删 除 多 余 及 可 疑 的 帐 号 （ 5 ） 当 前 登 录 当 前 系 统 的 用 户 信 息 0 2 、 检 查 异 常 端 口 、 检 查 异 常 端 口 （ 1 ） 使 用 n e t s t a t   网 络 连 接 命 令 ， 分 析 可 疑 端 口 、 I P 、 P I D 等 信 息 。 （ 2 ） 如 发 现 异 常 的 网 络 连 接 需 要 持 续 观 察 ， 可 抓 包 分 析 0 3 、 检 查 可 疑 进 程 、 检 查 可 疑 进 程 （ 1 ） 使 用 p s 命 令 列 出 系 统 中 当 前 运 行 的 那 些 进 程 ， 分 析 异 常 的 进 程 名 、 P I D ， 可 疑 的 命 令 行 等 。 （ 2 ） 通 过 t o p 命 令 显 示 系 统 中 各 个 进 程 的 资 源 占 用 状 况 ， 如 发 现 资 源 占 用 过 高 （ 3 ） 如 发 现 异 常 ， 可 使 用 一 下 命 令 进 一 步 排 查 ： 0 4 、 检 查 系 统 服 务 、 检 查 系 统 服 务 L i n u x 系 统 服 务 管 理 ， C e n t O S 7 使 用 s y s t e m d 控 制       C e n t O S 6 之 前 使 用 c h k c o n f i g 控 制 。 （ 1 ） 对 于 s y s t e m d 服 务 管 理 器 来 说 ， 可 以 通 过 下 述 方 式 查 看 开 机 自 启 的 服 务 : a w k   - F :   ' $ 3 = = 0 { p r i n t   $ 1 } '   / e t c / p a s s w d a w k   ' / $ 1 | $ 6 / { p r i n t   $ 1 } '   / e t c / s h a d o w m o r e   / e t c / s u d o e r s   |   g r e p   - v   " ^ # | ^ $ "   |   g r e p   " A L L = ( A L L ) " u s e r m o d   - L   u s e r         禁 用 帐 号 ， 帐 号 无 法 登 录 ， / e t c / s h a d o w 第 二 栏 为 ! 开 头 u s e r d e l   u s e r               删 除 u s e r 用 户 u s e r d e l   - r   u s e r         将 删 除 u s e r 用 户 ， 并 且 将 / h o m e 目 录 下 的 u s e r 目 录 一 并 删 除 w h o           查 看 当 前 登 录 用 户 （ t t y 本 地 登 陆     p t s 远 程 登 录 ） w               查 看 系 统 信 息 ， 想 知 道 某 一 时 刻 用 户 的 行 为 u p t i m e     查 看 登 陆 多 久 、 多 少 用 户 ， 负 载 n e t s t a t   - a n t l p | m o r e t c p d u m p   - c   1 0   - q       / / 精 简 模 式 显 示   1 0 个 包 p s   a u x   /   p s   - e f t o p 查 看 该 进 程 启 动 的 完 整 命 令 行 :   p s   e h o   c o m m a n d   - p   $ P I D 查 看 该 进 程 启 动 时 候 所 在 的 目 录 :   r e a d l i n k   / p r o c / $ P I D / c w d 查 看 下 p i d 所 对 应 的 进 程 文 件 路 径 ： l s   - l   / p r o c / $ P I D / e x e 查 看 该 进 程 启 动 时 的 完 整 环 境 变 量 :   s t r i n g s   - f   / p r o c / 1 4 6 1 / e n v i r o n   |   c u t   - f 2   - d   ' ' 列 出 该 进 程 所 打 开 的 所 有 文 件 :   l s o f   - p   $ P I D s y s t e m c t l   l i s t - u n i t - f i l e s   - - t y p e = s e r v i c e   |   g r e p   " e n a b l e d "
（ 2 ） c h k c o n f i g 就 是 C e n t O S 6 以 前 用 来 控 制 系 统 服 务 的 工 具 ， 查 看 服 务 自 启 动 状 态 ： 0 5 、 检 查 开 机 启 动 项 、 检 查 开 机 启 动 项 （ 1 ） 检 查 启 动 项 脚 本 （ 2 ） 例 子 : 当 我 们 需 要 开 机 启 动 自 己 的 脚 本 时 ， 只 需 要 将 可 执 行 脚 本 丢 在 / e t c / i n i t . d 目 录 下 ， 然 后 在 / e t c / r c . d / r c * . d 中 建 立 软 链 接 即 可 此 处 s s h d 是 具 体 服 务 的 脚 本 文 件 ， S 1 0 0 s s h 是 其 软 链 接 ， S 开 头 代 表 加 载 时 自 启 动 ； 如 果 是 K 开 头 的 脚 本 文 件 ， 代 表 运 行 级 别 加 载 时 需 要 关 闭 的 。 0 6 、 检 查 计 划 任 务 、 检 查 计 划 任 务 利 用 计 划 任 务 进 行 权 限 维 持 ， 可 作 为 一 种 持 久 性 机 制 被 入 侵 者 利 用 。 检 查 异 常 的 计 划 任 务 ， 需 要 重 点 关 注 以 下 目 录 中 是 否 存 在 恶 意 脚 本 。 0 7 、 检 查 异 常 文 件 、 检 查 异 常 文 件 1 、 查 看 敏 感 目 录 ， 如 / t m p 目 录 下 的 文 件 ， 同 时 注 意 隐 藏 文 件 夹 ， 以 “ . . ” 为 名 的 文 件 夹 具 有 隐 藏 属 性 2 、 得 到 发 现 W E B S H E L L 、 远 控 木 马 的 创 建 时 间 ， 如 何 找 出 同 一 时 间 范 围 内 创 建 的 文 件 ？ 3 、 针 对 可 疑 文 件 可 以 使 用 s t a t 进 行 创 建 修 改 时 间 。 0 8 、 检 查 历 史 命 令 、 检 查 历 史 命 令 一 般 而 言 ， 入 侵 者 获 取 s h e l l 之 后 ， 会 执 行 一 些 系 统 命 令 从 而 在 主 机 上 留 下 痕 迹 ， 我 们 可 以 通 过 h i s t o r y 命 令 查 询 s h e l l 命 令 的 执 行 历 史 。 （ 1 ） 查 询 某 个 用 户 在 系 统 上 执 行 了 什 么 命 令 （ 2 ） 默 认 情 况 下 ， 系 统 可 以 保 存 1 0 0 0 条 的 历 史 命 令 ， 并 不 记 录 命 令 执 行 的 时 间 ， 根 据 需 要 进 行 安 全 加 固 。 0 9 、 检 查 系 统 日 志 、 检 查 系 统 日 志 在 L i n u x 上 一 般 跟 系 统 相 关 的 日 志 默 认 都 会 放 到 / v a r / l o g 下 面 ， 若 是 一 旦 出 现 问 题 ， 用 户 就 可 以 通 过 查 看 日 志 来 迅 速 定 位 ， 及 时 解 决 问 题 。 常 用 日 志 文 件 如 下 ： 一 般 ， 我 们 需 要 重 点 去 关 注 s e c u r e 安 全 日 志 ， 检 查 系 统 错 误 登 陆 日 志 ， 统 计 I P 重 试 次 数 ， 成 功 登 录 的 时 间 、 用 户 名 和 i p ， 确 认 账 号 是 否 存 在 暴 力 破 解 或 异 常 登 录 的 情 况 。 c h k c o n f i g     - - l i s t     c h k c o n f i g   - - l i s t   |   g r e p   " 3 : o n | 5 : o n " m o r e   / e t c / r c . l o c a l   / e t c / r c . d / r c [ 0 ~ 6 ] . d   l s   - l   / e t c / r c . d / r c 3 . d / l n   - s   / e t c / i n i t . d / s s h d   / e t c / r c . d / r c 3 . d / S 1 0 0 s s h / v a r / s p o o l / c r o n / *   / e t c / c r o n t a b / e t c / c r o n . d / * / e t c / c r o n . d a i l y / *   / e t c / c r o n . h o u r l y / *   / e t c / c r o n . m o n t h l y / * / e t c / c r o n . w e e k l y / / e t c / a n a c r o n t a b / v a r / s p o o l / a n a c r o n / * 可 以 使 用 f i n d 命 令 来 查 找 ， 如   f i n d   / o p t   - i n a m e   " * "   - a t i m e   1   - t y p e   f   找 出   / o p t   下 一 天 前 访 问 过 的 文 件 使 用 r o o t 用 户 登 录 系 统 ， 检 查 / h o m e 目 录 下 的 用 户 主 目 录 的 . b a s h _ h i s t o r y 文 件 a ） 保 存 1 万 条 命 令 s e d   - i   ' s / ^ H I S T S I Z E = 1 0 0 0 / H I S T S I Z E = 1 0 0 0 0 / g '   / e t c / p r o f i l e b ） 在 / e t c / p r o f i l e 的 文 件 尾 部 添 加 如 下 行 数 配 置 信 息 ： # # # # # # j i a g u   h i s t o r y   x i a n s h i # # # # # # # # # U S E R _ I P = ` w h o   - u   a m   i   2 > / d e v / n u l l   |   a w k   ' { p r i n t   $ N F } '   |   s e d   - e   ' s / [ ( ) ] / / g ' ` i f   [   " $ U S E R _ I P "   =   " "   ] t h e n U S E R _ I P = ` h o s t n a m e ` f i e x p o r t   H I S T T I M E F O R M A T = " % F   % T   $ U S E R _ I P   ` w h o a m i `   " s h o p t   - s   h i s t a p p e n d e x p o r t   P R O M P T _ C O M M A N D = " h i s t o r y   - a " # # # # # # # # #   j i a g u   h i s t o r y   x i a n s h i   # # # # # # # # # # c ） s o u r c e   / e t c / p r o f i l e 让 配 置 生 效 / v a r / l o g / b t m p ： 记 录 错 误 登 录 日 志 ， 这 个 文 件 是 二 进 制 文 件 ， 不 能 直 接 v i 查 看 ， 而 要 使 用 l a s t b 命 令 查 看 。 / v a r / l o g / l a s t l o g ： 记 录 系 统 中 所 有 用 户 最 后 一 次 登 录 时 间 的 日 志 ， 这 个 文 件 是 二 进 制 文 件 ， 不 能 直 接 v i ， 而 要 使 用 l a s t l o g 命 令 查 看 。 / v a r / l o g / w t m p ： 永 久 记 录 所 有 用 户 的 登 录 、 注 销 信 息 ， 同 时 记 录 系 统 的 启 动 、 重 启 、 关 机 事 件 。 同 样 这 个 文 件 也 是 一 个 二 进 制 文 件 ， 不 能 直 接 v i ， 而 需 要 使 用 l a s t 命 令 来 查 看 。 / v a r / l o g / u t m p ： 记 录 当 前 已 经 登 录 的 用 户 信 息 ， 这 个 文 件 会 随 着 用 户 的 登 录 和 注 销 不 断 变 化 ， 只 记 录 当 前 登 录 用 户 的 信 息 。 同 样 这 个 文 件 不 能 直 接 v i ， 而 要 使 用 w , w h o , u s e r s 等 命 令 来 查 询 。 / v a r / l o g / s e c u r e ： 记 录 验 证 和 授 权 方 面 的 信 息 ， 只 要 涉 及 账 号 和 密 码 的 程 序 都 会 记 录 ， 比 如 S S H 登 录 ， s u 切 换 用 户 ， s u d o 授 权 ， 甚 至 添 加 用 户 和 修 改 用 户 密 码 都 会 记 录 在 这 个 日 志 文 件 中
1 、 定 位 有 多 少 I P 在 爆 破 主 机 的 r o o t 帐 号 ： g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e 定 位 有 哪 些 I P 在 爆 破 ： g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | g r e p   - E   - o   " ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 爆 破 用 户 名 字 典 是 什 么 ？   g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | p e r l   - e   ' w h i l e ( $ _ = < > ) {   / f o r ( . * ? )   f r o m / ;   p r i n t   " $ 1 n " ; } ' | u n i q   - c | s o r t   - n r 2 、 登 录 成 功 的 I P 有 哪 些 ： g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e 登 录 成 功 的 日 期 、 用 户 名 、 I P ： g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } '
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:29 , Processed in 0.146442 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表