搜索

[21843] 2021-04-05_2021HW参考Linux安全应急--排查思路及命令

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-18
2021-04-05_2021HW参考Linux安全应急--排查思路及命令 2 0 2 1 H W 参 考   |   L i n u x 安 全 应 急 - - 排 查 思 路 及 命 令 转 自   安 全 初 心   L e m o n S e c   2 0 2 1 - 0 4 - 0 5 作 者 博 客 ： h t t p s : / / b l u b i u . g i t h u b . i o L i u n x 应 急 一 直 都 是 安 全 行 业 中 的 重 点 ， 由 于 是 全 命 令 行 界 面 ， 排 查 起 来 也 没 那 么 方 便 ， 也 一 直 想 做 这 方 面 的 笔 记 ， 今 天 抽 空 来 总 结 一 下 。 文 章 简 介 ： 本 文 将 在   C e n t O S   6   下 进 行 演 示 目 录 ：

现 场 环 境 如 果 是 L i n u x 系 统 的 话 ， 见 过 最 多 的 是 C e n t O S   6 ， L i n u x 是 全 命 令 界 面 的 ， 如 果 是 W i n d o w s 系 统 的 话 ， 一 般 是 W i n d o w s   s e r v e r   2 0 0 8 常 见 应 急 问 题
大 多 数 应 急 常 见 的 问 题 都 是 挖 矿 ， 或 者 是 被 植 入 菠 菜 小 部 分 是 中 了 勒 索 病 毒 ， 如 果 是 勒 索 病 毒 的 话 ， 看 看 3 6 0 、 腾 讯 有 没 有 什 么 解 密 工 具 ， 如 果 没 有 的 话 就 重 装 系 统 吧 ， 自 求 多 福   （ 逃 。 。 排 查 思 路 及 方 法 本 节 将 讲 解 一 些 基 本 的 流 程 ， 以 及 一 些 常 用 的 命 令 。 基 本 流 程 1 .   接 到 应 急 指 令 后 ， 一 般 都 需 要 到 客 户 现 场 去 处 理 的 ， 最 好 带 上 电 脑 和 笔 记 本 。 2 .   到 达 现 场 后 ， 跟 客 户 沟 通 ， 我 方 需 要 确 认 一 些 信 息 ( 我 在 W i n d o w s 安 全 应 急 的 第 三 篇 有 讲 解 一 些 ) ， 方 便 定 ( s h u a i ) 位 ( g u o ) 问 题 ， 后 面 客 户 可 能 会 让 你 上 机 操 作 ， 或 者 是 使 用 你 自 己 电 脑 登 录 目 标 机 器 查 找 问 题 。 3 .   无 论 是 挖 矿 还 是 菠 菜 ， 流 程 都 差 不 多 ， 找 出 问 题   – >   解 决 问 题   – >   编 写 报 告 有 句 传 言 道 是 ： 扫 描 一 分 钟 ， 报 告 一 个 钟 ， 如 果 是 菠 菜 的 话 ， 那 要 多 注 意 注 意 是 不 是 修 改 了 网 站 配 置 文 件 还 是 直 接 在 网 页 上 值 入 的 链 接 。 进 程 排 查 命 令 整 理 一 些 基 本 的 命 令 ， 使 用 不 分 先 后 顺 序 这 里 只 简 单 说 明 ， 服 务 器 被 入 侵 后 ， 攻 击 者 难 免 会 利 用 恶 意 程 序 来 达 到 自 己 的 目 的 。
1 .   查 看 当 前 系 统 状 态 ( t o p ) t o p 命 令 ： 可 以 持 续 的 监 视 进 程 的 信 息 。 命 令 ： 可 以 持 续 的 监 视 进 程 的 信 息 。 挖 矿 应 急 通 常 优 先 使 用 t o p 命 令 来 查 看 系 统 进 程 ， 一 般 挖 矿 病 毒 站 用 C P U 比 较 大 2 .   查 看 当 前 系 统 进 程 信 息 ( p s ) p s 命 令 ： 可 以 查 看 进 程 的 瞬 间 信 息 。 命 令 ： 可 以 查 看 进 程 的 瞬 间 信 息 。 常 用 参 数 ： 1 .   - a ： 显 示 现 行 终 端 机 下 的 所 有 程 序 ， 包 括 其 他 用 户 的 程 序 。 2 .   - e ： 列 出 程 序 时 ， 显 示 每 个 程 序 所 使 用 的 环 境 变 量 。 3 .   - f ： 显 示 U I D , P P I P , C 与 S T I M E 栏 位 。 3 .   查 看 非 r o o t 运 行 的 进 程 ( p s ) 命 令 ：
4 .   查 看 用 户 r o o t 运 行 的 进 程 ( p s ) 命 令 ： 5 .   查 看 有 没 有 奇 怪 进 程 ( p s ) 命 令 ： g r e p   是 搜 索 命 令 i n e t d   程 序 是 一 个 L i n u x 守 护 进 程 . p s   - U   r o o t   - u   r o o t   - N p s   - u   r o o t p s   - a e f   |   g r e p   i n e t d
6 .   检 测 隐 藏 进 程 ( p s ) 命 令 ： 命 令 ：   命 令 将 文 本 文 件 内 容 加 以 排 序 , 可 针 对 文 本 文 件 的 内 容 ， 以 行 为 单 位 来 排 序 。   参 数 依 照 数 值 的 大 小 排 序 。   命 令 用 于 检 查 及 删 除 文 本 文 件 中 重 复 出 现 的 行 列 ， 一 般 与   s o r t   命 令 结 合 使 用 。 7 .   检 测 系 统 守 护 进 程 ( l s ) 命 令 ： 任 务 及 用 户 活 动 排 查 命 令 说 明 ： 机 器 使 用 过 程 中 难 免 会 留 下 一 些 痕 迹 p s   - e f   |   a w k   ' { p r i n t } '   |   s o r t   - n   | u n i q   > 1 l s   / p r o c   |   s o r t   - n   | u n i q   > 2 s o r t - n u n i q l s   / e t c / c r o n t a b
1 .   查 看 当 前 有 谁 登 陆 在 服 务 器 上 ( w h o )   命 令 查 看 当 前 登 录 用 户 （ t t y 本 地 登 陆   p t s 远 程 登 录 ） 命 令 ：   命 令 查 看 系 统 信 息 ， 想 知 道 某 一 时 刻 用 户 的 行 为 2 .   查 看 当 前 登 陆 用 户 的 I P 信 息 ( w h o ) 命 令 ： 3 .   查 看 近 期 用 户 登 陆 情 况 ( l a s t ) 命 令 ： w h o w h o w w h o   - m l a s t   - n   5         # #   - n   5   表 示 输 出 5 条
4 .   查 看 历 史 命 令 ( h i s t o r y ) 命 令 ： 5 .   查 看 空 口 令 账 号 ( a w k ) 是 一 种 编 程 语 言 ， 用 于 对 文 本 和 数 据 进 行 处 理 的 语 法 ： a w k   [ o p t i o n s ]   ‘ p a t t e r n { a c t i o n } ’   f i l e 命 令 ： 没 有 的 话 啥 都 不 输 出 在 没 有 o p t i o n s 和 p a t t e r n 的 情 况 下 ， 可 以 使 用 c a t 命 令 h i s t o r y   5         # #     5   表 示 输 出 最 近 使 用 的 5 条 命 令 a w k a w k   - F :   ' ( $ 2 = = " " ) '   / e t c / s h a d o w
6 .   查 看 u i d 为 0 的 账 号 ( a w k ) 命 令 ： 7 .   查 看 u i d 为 0 的 账 号 ( g r e p ) 命 令 ： 8 .   查 看 进 程 树 是 否 所 有 异 常 进 程 存 在 一 个 父 进 程 、 判 断 进 程 的 父 子 关 系 ( p s t r e e ) 命 令 ： a w k   - F :   ' ( $ 3 = = 0 ) '   / e t c / p a s s w d g r e p   - v   - E   " ^ # "   / e t c / p a s s w d   |   a w k   - F :   ' $ 3 = = 0 { p r i n t   $ 1 } ' p s t r e e   - p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理