搜索

[21588] 2021-01-11_11个步骤完美排查Linux机器是否已经被入侵

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2021-01-11_11个步骤完美排查Linux机器是否已经被入侵 1 1 个 步 骤 完 美 排 查 L i n u x 机 器 是 否 已 经 被 入 侵 L e m o n S e c   2 0 2 1 - 0 1 - 1 1 来 自 ： 铭 的 随 记 链 接 ： c n b l o g s . c o m / s t o n e h e / p / 7 5 6 2 3 7 4 . h t m l 随 着 开 源 产 品 的 越 来 越 盛 行 ， 作 为 一 个 L i n u x 运 维 工 程 师 ， 能 够 清 晰 地 鉴 别 异 常 机 器 是 否 已 经 被 入 侵 了 显 得 至 关 重 要 ， 个 人 结 合 自 己 的 工 作 经 历 ， 整 理 了 几 种 常 见 的 机 器 被 黑 情 况 供 参 考   背 景 信 息 ： 以 下 情 况 是 在 C e n t O S   6 . 9 的 系 统 中 查 看 的 ， 其 它 L i n u x 发 行 版 类 似   1 、 、 入 侵 者 可 能 会 删 除 机 器 的 日 志 信 息 ， 可 以 查 看 日 志 信 息 是 否 还 存 在 或 者 是 否 被 清 空 ， 相 关 命 令 示 例 ： 2 、 、 入 侵 者 可 能 创 建 一 个 新 的 存 放 用 户 名 及 密 码 文 件 ， 可 以 查 看 / e t c / p a s s w d 及 / e t c / s h a d o w 文 件 ， 相 关 命 令 示 例 ： [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   - h   / v a r / l o g / * - r w - - - - - - - .   1   r o o t   r o o t   2 . 6 K   J u l     7   1 8 : 3 1   / v a r / l o g / a n a c o n d a . i f c f g . l o g - r w - - - - - - - .   1   r o o t   r o o t     2 3 K   J u l     7   1 8 : 3 1   / v a r / l o g / a n a c o n d a . l o g - r w - - - - - - - .   1   r o o t   r o o t     2 6 K   J u l     7   1 8 : 3 1   / v a r / l o g / a n a c o n d a . p r o g r a m . l o g - r w - - - - - - - .   1   r o o t   r o o t     6 3 K   J u l     7   1 8 : 3 1   / v a r / l o g / a n a c o n d a . s t o r a g e . l o g [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   d u   - s h   / v a r / l o g / * 8 . 0 K   / v a r / l o g / a n a c o n d a 4 . 0 K   / v a r / l o g / a n a c o n d a . i f c f g . l o g 2 4 K     / v a r / l o g / a n a c o n d a . l o g 2 8 K     / v a r / l o g / a n a c o n d a . p r o g r a m . l o g 6 4 K     / v a r / l o g / a n a c o n d a . s t o r a g e . l o g
  3 、 、 入 侵 者 可 能 修 改 用 户 名 及 密 码 文 件 ， 可 以 查 看 / e t c / p a s s w d 及 / e t c / s h a d o w 文 件 内 容 进 行 鉴 别 ， 相 关 命 令 示 例 ： 4 、 、 查 看 机 器 最 近 成 功 登 陆 的 事 件 和 最 后 一 次 不 成 功 的 登 陆 事 件 ， 对 应 日 志 “ / v a r / l o g / l a s t l o g ” ， 相 关 命 令 示 例 ：   5 、 、 查 看 机 器 当 前 登 录 的 全 部 用 户 ， 对 应 日 志 文 件 “ / v a r / r u n / u t m p ” ， 相 关 命 令 示 例 ： [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   / e t c / p a s s * - r w - r - - r - - .   1   r o o t   r o o t   1 3 7 3   S e p   1 5   1 1 : 3 6   / e t c / p a s s w d - r w - r - - r - - .   1   r o o t   r o o t   1 3 7 3   S e p   1 5   1 1 : 3 6   / e t c / p a s s w d - [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   / e t c / s h a * - - - - - - - - - - .   1   r o o t   r o o t   8 1 6   S e p   1 5   1 1 : 3 6   / e t c / s h a d o w - - - - - - - - - - .   1   r o o t   r o o t   7 1 8   S e p   1 5   1 1 : 3 6   / e t c / s h a d o w - [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   m o r e   / e t c / p a s s w d r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h b i n : x : 1 : 1 : b i n : / b i n : / s b i n / n o l o g i n d a e m o n : x : 2 : 2 : d a e m o n : / s b i n : / s b i n / n o l o g i n [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   m o r e   / e t c / s h a d o w r o o t : * L O C K * : 1 4 6 0 0 : : : : : : b i n : * : 1 7 2 4 6 : 0 : 9 9 9 9 9 : 7 : : : d a e m o n : * : 1 7 2 4 6 : 0 : 9 9 9 9 9 : 7 : : : [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l a s t l o g U s e r n a m e                   P o r t           F r o m                           L a t e s t r o o t                                                                               * * N e v e r   l o g g e d   i n * * b i n                                                                                 * * N e v e r   l o g g e d   i n * * d a e m o n                                                                           * * N e v e r   l o g g e d   i n * *
  6 、 、 查 看 机 器 创 建 以 来 登 陆 过 的 用 户 ， 对 应 日 志 文 件 “ / v a r / l o g / w t m p ” ， 相 关 命 令 示 例 ： 7 、 、 查 看 机 器 所 有 用 户 的 连 接 时 间 （ 小 时 ） ， 对 应 日 志 文 件 “ / v a r / l o g / w t m p ” ， 相 关 命 令 示 例 ： 8 、 、 如 果 发 现 机 器 产 生 了 异 常 流 量 ， 可 以 使 用 命 令 “ t c p d u m p ” 抓 取 网 络 包 查 看 流 量 情 况 或 者 使 用 工 具 ” i p e r f ” 查 看 流 量 情 况   9 、 、 可 以 查 看 / v a r / l o g / s e c u r e 日 志 文 件 ， 尝 试 发 现 入 侵 者 的 信 息 ， 相 关 命 令 示 例 ： [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   w h o s t o n e         p t s / 0                 2 0 1 7 - 0 9 - 2 0   1 6 : 1 7   ( X . X . X . X ) t e s t 0 1       p t s / 2                 2 0 1 7 - 0 9 - 2 0   1 6 : 4 7   ( X . X . X . X ) [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l a s t t e s t 0 1       p t s / 1                 X . X . X . X       W e d   S e p   2 0   1 6 : 5 0       s t i l l   l o g g e d   i n     t e s t 0 1       p t s / 2                 X . X . X . X       W e d   S e p   2 0   1 6 : 4 7   -   1 6 : 4 9     ( 0 0 : 0 2 )       s t o n e         p t s / 1                 X . X . X . X       W e d   S e p   2 0   1 6 : 4 6   -   1 6 : 4 7     ( 0 0 : 0 1 )       s t o n e         p t s / 0                 X . X . X . X       W e d   S e p   2 0   1 6 : 1 7       s t i l l   l o g g e d   i n [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   a c   - d p                   s t o n e                                                               1 1 . 9 8 S e p   1 5             t o t a l               1 1 . 9 8                   s t o n e                                                               6 7 . 0 6 S e p   1 8             t o t a l               6 7 . 0 6                   s t o n e                                                                 1 . 2 7                   t e s t 0 1                                                               0 . 2 4 T o d a y                 t o t a l                 1 . 5 0
1 0 、 、 查 询 异 常 进 程 所 对 应 的 执 行 脚 本 文 件 a . t o p 命 令 查 看 异 常 进 程 对 应 的 P I D     b 、 在 虚 拟 文 件 系 统 目 录 查 找 该 进 程 的 可 执 行 文 件 1 1 、 、 如 果 确 认 机 器 已 经 被 入 侵 ， 重 要 文 件 已 经 被 删 除 ， 可 以 尝 试 找 回 被 删 除 的 文 件 N o t e ： 参 考 L i n k ： h t t p : / / w w w . c n b l o g s . c o m / g g j u c h e n g / a r c h i v e / 2 0 1 2 / 0 1 / 0 8 / 2 3 1 6 5 9 9 . h t m l 1 > 当 进 程 打 开 了 某 个 文 件 时 ， 只 要 该 进 程 保 持 打 开 该 文 件 ， 即 使 将 其 删 除 ， 它 依 然 存 在 于 磁 盘 中 。 这 意 味 着 ， 进 程 并 不 知 道 文 件 已 经 被 删 除 ， 它 仍 然 可 以 向 打 开 该 文 件 时 提 供 给 它 的 文 件 描 述 符 进 行 读 取 和 写 入 。 除 了 该 进 程 之 外 ， 这 个 文 件 是 不 可 见 的 ， 因 为 已 经 [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   c a t   / v a r / l o g / s e c u r e   |   g r e p   - i   " a c c e p t e d   p a s s w o r d " S e p   2 0   1 2 : 4 7 : 2 0   h l m c e n 6 9 n 3   s s h d [ 3 7 1 9 3 ] :   A c c e p t e d   p a s s w o r d   f o r   s t o n e   f r o m   X . X . X . X   p o r t   1 5 8 9 8   s s h 2 S e p   2 0   1 6 : 1 7 : 4 7   h l m c e n 6 9 n 3   s s h d [ 3 8 2 0 6 ] :   A c c e p t e d   p a s s w o r d   f o r   s t o n e   f r o m   X . X . X . X   p o r t   9 1 4 0   s s h 2 S e p   2 0   1 6 : 4 6 : 0 0   h l m c e n 6 9 n 3   s s h d [ 3 8 5 1 1 ] :   A c c e p t e d   p a s s w o r d   f o r   s t o n e   f r o m   X . X . X . X   p o r t   2 5 4 0   s s h 2 S e p   2 0   1 6 : 4 7 : 1 6   h l m c e n 6 9 n 3   s s h d [ 3 8 6 0 5 ] :   A c c e p t e d   p a s s w o r d   f o r   t e s t 0 1   f r o m   X . X . X . X   p o r t   1 0 7 9 0   s s h 2 S e p   2 0   1 6 : 5 0 : 0 4   h l m c e n 6 9 n 3   s s h d [ 3 8 6 5 2 ] :   A c c e p t e d   p a s s w o r d   f o r   t e s t 0 1   f r o m   X . X . X . X   p o r t   2 8 9 5 6   s s h 2 [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   / p r o c / 1 8 5 0 /   |   g r e p   - i   e x e l r w x r w x r w x .   1   r o o t   r o o t   0   S e p   1 5   1 2 : 3 1   e x e   - >   / u s r / b i n / p y t h o n [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   / u s r / b i n / p y t h o n - r w x r - x r - x .   2   r o o t   r o o t   9 0 3 2   A u g   1 8     2 0 1 6   / u s r / b i n / p y t h o n
删 除 了 其 相 应 的 目 录 索 引 节 点 。 2 > 在 / p r o c   目 录 下 ， 其 中 包 含 了 反 映 内 核 和 进 程 树 的 各 种 文 件 。 / p r o c 目 录 挂 载 的 是 在 内 存 中 所 映 射 的 一 块 区 域 ， 所 以 这 些 文 件 和 目 录 并 不 存 在 于 磁 盘 中 ， 因 此 当 我 们 对 这 些 文 件 进 行 读 取 和 写 入 时 ， 实 际 上 是 在 从 内 存 中 获 取 相 关 信 息 。 大 多 数 与   l s o f   相 关 的 信 息 都 存 储 于 以 进 程 的   P I D   命 名 的 目 录 中 ， 即   / p r o c / 1 2 3 4   中 包 含 的 是   P I D   为   1 2 3 4   的 进 程 的 信 息 。 每 个 进 程 目 录 中 存 在 着 各 种 文 件 ， 它 们 可 以 使 得 应 用 程 序 简 单 地 了 解 进 程 的 内 存 空 间 、 文 件 描 述 符 列 表 、 指 向 磁 盘 上 的 文 件 的 符 号 链 接 和 其 他 系 统 信 息 。 l s o f   程 序 使 用 该 信 息 和 其 他 关 于 内 核 内 部 状 态 的 信 息 来 产 生 其 输 出 。 所 以 l s o f   可 以 显 示 进 程 的 文 件 描 述 符 和 相 关 的 文 件 名 等 信 息 。 也 就 是 我 们 通 过 访 问 进 程 的 文 件 描 述 符 可 以 找 到 该 文 件 的 相 关 信 息 。 3 > 当 系 统 中 的 某 个 文 件 被 意 外 地 删 除 了 ， 只 要 这 个 时 候 系 统 中 还 有 进 程 正 在 访 问 该 文 件 ， 那 么 我 们 就 可 以 通 过 l s o f 从 / p r o c 目 录 下 恢 复 该 文 件 的 内 容 。   假 设 入 侵 者 将 / v a r / l o g / s e c u r e 文 件 删 除 掉 了 ， 尝 试 将 / v a r / l o g / s e c u r e 文 件 恢 复 的 方 法 可 以 参 考 如 下 ：   a . 查 看 / v a r / l o g / s e c u r e 文 件 ， 发 现 已 经 没 有 该 文 件     b . 使 用 l s o f 命 令 查 看 当 前 是 否 有 进 程 打 开 / v a r / l o g / s e c u r e ， c . 从 上 面 的 信 息 可 以 看 到   P I D   1 2 6 4 （ r s y s l o g d ） 打 开 文 件 的 文 件 描 述 符 为 4 。 同 时 还 可 以 看 到 / v a r / l o g /   s e c u r e 已 经 标 记 为 被 删 除 了 。 因 此 我 们 可 以 在 / p r o c / 1 2 6 4 / f d / 4 （ f d 下 的 每 个 以 数 字 命 名 的 文 件 表 示 进 程 对 应 的 文 件 描 述 符 ） 中 查 看 相 应 的 信 息 ， 如 下 ： [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   / v a r / l o g / s e c u r e l s :   c a n n o t   a c c e s s   / v a r / l o g / s e c u r e :   N o   s u c h   f i l e   o r   d i r e c t o r y [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l s o f   |   g r e p   / v a r / l o g / s e c u r e r s y s l o g d       1 2 6 4             r o o t         4 w             R E G                                 8 , 1     3 1 7 3 9 0 4           2 6 3 9 1 7   / v a r / l o g / s e c u r e   ( d e l e t e d )
  d . 从 上 面 的 信 息 可 以 看 出 ， 查 看 / p r o c / 1 2 6 4 / f d / 4 就 可 以 得 到 所 要 恢 复 的 数 据 。 如 果 可 以 通 过 文 件 描 述 符 查 看 相 应 的 数 据 ， 那 么 就 可 以 使 用 I / O 重 定 向 将 其 重 定 向 到 文 件 中 ， 如 : e . 再 次 查 看 / v a r / l o g / s e c u r e ， 发 现 该 文 件 已 经 存 在 。 对 于 许 多 应 用 程 序 ， 尤 其 是 日 志 文 件 和 数 据 库 ， 这 种 恢 复 删 除 文 件 的 方 法 非 常 有 用 。 [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   t a i l   / p r o c / 1 2 6 4 / f d / 4 S e p   2 0   1 6 : 4 7 : 2 1   h l m c e n 6 9 n 3   s s h d [ 3 8 5 1 1 ] :   p a m _ u n i x ( s s h d : s e s s i o n ) :   s e s s i o n   c l o s e d   f o r   u s e r   s t o n e S e p   2 0   1 6 : 4 7 : 2 1   h l m c e n 6 9 n 3   s u :   p a m _ u n i x ( s u - l : s e s s i o n ) :   s e s s i o n   c l o s e d   f o r   u s e r   r o o t S e p   2 0   1 6 : 4 9 : 3 0   h l m c e n 6 9 n 3   s s h d [ 3 8 6 0 5 ] :   p a m _ u n i x ( s s h d : s e s s i o n ) :   s e s s i o n   c l o s e d   f o r   u s e r   t e s t 0 1 S e p   2 0   1 6 : 5 0 : 0 4   h l m c e n 6 9 n 3   s s h d [ 3 8 6 5 2 ] :   r e v e r s e   m a p p i n g   c h e c k i n g   g e t a d d r i n f o   f o r   1 9 0 . 7 8 . 1 2 0 . 1 0 6 S e p   2 0   1 6 : 5 0 : 0 4   h l m c e n 6 9 n 3   s s h d [ 3 8 6 5 2 ] :   A c c e p t e d   p a s s w o r d   f o r   t e s t 0 1   f r o m   1 0 6 . 1 2 0 . 7 8 . 1 9 0   p o r t   S e p   2 0   1 6 : 5 0 : 0 5   h l m c e n 6 9 n 3   s s h d [ 3 8 6 5 2 ] :   p a m _ u n i x ( s s h d : s e s s i o n ) :   s e s s i o n   o p e n e d   f o r   u s e r   t e s t 0 1   S e p   2 0   1 7 : 1 8 : 5 1   h l m c e n 6 9 n 3   u n i x _ c h k p w d [ 3 8 7 9 3 ] :   p a s s w o r d   c h e c k   f a i l e d   f o r   u s e r   ( r o o t ) S e p   2 0   1 7 : 1 8 : 5 1   h l m c e n 6 9 n 3   s s h d [ 3 8 7 8 9 ] :   p a m _ u n i x ( s s h d : a u t h ) :   a u t h e n t i c a t i o n   f a i l u r e ;   l o g n a m e =   u i d = S e p   2 0   1 7 : 1 8 : 5 2   h l m c e n 6 9 n 3   s s h d [ 3 8 7 8 9 ] :   F a i l e d   p a s s w o r d   f o r   r o o t   f r o m   5 1 . 1 5 . 8 1 . 9 0   p o r t   4 7 0 1 4   s s h 2 S e p   2 0   1 7 : 1 8 : 5 2   h l m c e n 6 9 n 3   s s h d [ 3 8 7 9 0 ] :   C o n n e c t i o n   c l o s e d   b y   5 1 . 1 5 . 8 1 . 9 0 [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   c a t   / p r o c / 1 2 6 4 / f d / 4   >   / v a r / l o g / s e c u r e [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   l l   / v a r / l o g / s e c u r e - r w - r - - r - - .   1   r o o t   r o o t   3 1 7 3 9 0 4   S e p   2 0   1 7 : 2 4   / v a r / l o g / s e c u r e [ r o o t @ h l m c e n 6 9 n 3   ~ ] #   h e a d   / v a r / l o g / s e c u r e S e p   1 7   0 3 : 2 8 : 1 5   h l m c e n 6 9 n 3   s s h d [ 1 3 2 8 8 ] :   r e v e r s e   m a p p i n g   c h e c k i n g   g e t a d d r i n f o   f o r   1 3 7 - 6 4 - 1 5 - 5 1 . S e p   1 7   0 3 : 2 8 : 1 5   h l m c e n 6 9 n 3   u n i x _ c h k p w d [ 1 3 2 9 0 ] :   p a s s w o r d   c h e c k   f a i l e d   f o r   u s e r   ( r o o t ) S e p   1 7   0 3 : 2 8 : 1 5   h l m c e n 6 9 n 3   s s h d [ 1 3 2 8 8 ] :   p a m _ u n i x ( s s h d : a u t h ) :   a u t h e n t i c a t i o n   f a i l u r e ;   l o g n a m e =   u i d = S e p   1 7   0 3 : 2 8 : 1 7   h l m c e n 6 9 n 3   s s h d [ 1 3 2 8 8 ] :   F a i l e d   p a s s w o r d   f o r   r o o t   f r o m   5 1 . 1 5 . 6 4 . 1 3 7   p o r t   5 9 4 9 8   s s h 2 S e p   1 7   0 3 : 2 8 : 1 8   h l m c e n 6 9 n 3   s s h d [ 1 3 2 8 9 ] :   R e c e i v e d   d i s c o n n e c t   f r o m   5 1 . 1 5 . 6 4 . 1 3 7 :   1 1 :   B y e   B y e S e p   1 7   0 3 : 2 8 : 2 2   h l m c e n 6 9 n 3   s s h d [ 1 3 2 9 1 ] :   r e v e r s e   m a p p i n g   c h e c k i n g   g e t a d d r i n f o   f o r   1 3 7 - 6 4 - 1 5 - 5 1 . S e p   1 7   0 3 : 2 8 : 2 2   h l m c e n 6 9 n 3   u n i x _ c h k p w d [ 1 3 2 9 3 ] :   p a s s w o r d   c h e c k   f a i l e d   f o r   u s e r   ( r o o t ) S e p   1 7   0 3 : 2 8 : 2 2   h l m c e n 6 9 n 3   s s h d [ 1 3 2 9 1 ] :   p a m _ u n i x ( s s h d : a u t h ) :   a u t h e n t i c a t i o n   f a i l u r e ;   l o g n a m e =   u i d = S e p   1 7   0 3 : 2 8 : 2 4   h l m c e n 6 9 n 3   s s h d [ 1 3 2 9 1 ] :   F a i l e d   p a s s w o r d   f o r   r o o t   f r o m   5 1 . 1 5 . 6 4 . 1 3 7   p o r t   3 7 7 2 2   s s h 2 S e p   1 7   0 3 : 2 8 : 2 5   h l m c e n 6 9 n 3   s s h d [ 1 3 2 9 2 ] :   R e c e i v e d   d i s c o n n e c t   f r o m   5 1 . 1 5 . 6 4 . 1 3 7 :   1 1 :   B y e   B y e
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理