搜索

[400] 2021-06-16_Linux应急响应

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-06-16_Linux应急响应 L i n u x 应 急 响 应 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 1 - 0 6 - 1 6 收 录 于 话 题   # 渗 透 测 试   , 1 4 个 引 子 引 子 总 结 一 篇 L i n u x 应 急 响 应 的 笔 记 ， 原 因 有 以 下 几 个 。 1 ， 就 是 应 急 响 应 本 身 。 2 ， 做 溯 源 不 能 光 是 人 肉 ， 不 论 从 沦 陷 的 机 器 来 说 ， 还 是 反 溯 到 傀 儡 机 ， 都 需 要 应 急 的 能 力 。 3 ， 作 为 R T ， 了 解 了 应 急 的 手 段 ， 可 以 更 好 的 去 隐 藏 自 己 。 系 统 基 本 信 息 系 统 基 本 信 息 命 令 l s c p u 查 看 C P U 相 关 信 息 ： u n a m e   - a 命 令 查 看 当 前 操 作 系 统 信 息 ：
使 用 l s b _ r e l e a s e   - a 和 c a t   / p r o c / v e r s i o n 命 令 查 看 操 作 系 统 版 本 信 息 ： l s m o d 命 令 查 看 系 统 已 载 入 的 模 块 信 息 ： 用 户 信 息 用 户 信 息 使 用 c a t   / e t c / p a s s w d 命 令 查 看 系 统 上 所 有 的 用 户 ， 并 查 看 默 认 登 录 的 s h e l l 及 是 否 可 登 录 等 情 况 ： 命 令 a w k   - F :   ' { i f ( $ 3 = = 0 ) p r i n t   $ 1 } '   / e t c / p a s s w d 查 看 U I D 为 0 的 用 户 ， 如 果 除 r o o t 外 有 其 它 账 号 ， 则 建 议 排 查 ：
查 看 可 登 录 的 账 号 ， 可 用 命 令 c a t   / e t c / p a s s w d   |   g r e p   ' / b i n / b a s h ' 查 看 ， 但 可 能 有 一 些 账 号 默 认 的 登 录 s h e l l 不 是 b a s h ， 这 样 查 看 结 果 不 是 很 全 面 ： 这 里 可 以 继 续 使 用 a w k 命 令 ， 把 第 7 项 不 是 / u s r / s b i n / n o l o g i n 的 列 出 来 ： 使 用 l a s t b 查 看 登 录 失 败 的 用 户 信 息 ， 实 际 上 是 读 取 的 / v a r / l o g / b t m p 文 件 的 内 容 ： 使 用 l a s t l o g 查 看 系 统 中 所 有 用 户 最 后 的 登 录 信 息 ， 实 际 上 相 当 于 读 取 的 / v a r / l o g / l a s t l o g 文 件 的 内 容 ， 如 果 一 个 用 户 从 未 登 录 过 ， 那 么 显 示 为 n e v e r   l o g g e d 。 使 用 l a s t 命 令 查 看 用 户 最 近 的 登 录 信 息 ， 相 当 于 查 看 了 / v a r / l o g / w t m p , / v a r / l o g / b t m p , / v a r / l o g / u t m p 三 个 文 件 ， w t m p 存 储 登 录 成 功 的 信 息 ， b t m p 存 储 登 录 失 败 的 信 息 ， u t m p 存 储 当 前 正 在 登 录 的 信 息 。
输 入 w h o 命 令 ， 查 看 当 前 用 户 登 录 系 统 的 情 况 ： 使 用 a w k   - F :   ' l e n g t h ( $ 2 ) = = 0   { p r i n t   $ 1 } '   / e t c / s h a d o w 来 查 看 空 密 码 的 账 号 ： 启 动 项 启 动 项 启 动 项 可 查 看 / e t c / i n i t . d / r c . l o c a l 和 / e t c / r c . l o c a l 文 件 内 容 ， 这 两 个 文 件 中 的 命 令 会 在 系 统 启 动 时 执 行 。 同 时 也 可 以 看 下 / e t c / i n i t . d 文 件 夹 下 的 文 件 ， 该 文 件 夹 下 包 含 了 相 关 服 务 的 启 动 和 停 止 脚 本 。 任 务 计 划 任 务 计 划 通 过 命 令 c r o n t a b   - l 来 查 看 计 划 任 务 ， 也 可 以 通 过 u 参 数 来 查 看 指 定 用 户 的 计 划 任 务 。 同 时 也 需 要 查 看 / e t c 目 录 下 的 计 划 任 务 文 件 ， 都 是 以 c r o n 开 头 ：
可 以 看 到 包 括 了 c r o n . d ， c r o n . h o u r l y 等 等 子 目 录 的 情 况 ， 基 本 就 差 不 多 了 ， 还 有 一 个 位 置 是 / e t c / a n a c r o n t a b 。 进 程 排 查 进 程 排 查 使 用 n e t s t a t   - a n o p 查 看 系 统 的 进 程 情 况 ， 如 果 某 个 进 程 有 恶 意 的 或 者 不 确 定 的 外 联 ， 则 可 以 根 据 其 P I D 进 一 步 查 看 ： 例 如 P I D 为 1 1 1 1 的 有 恶 意 的 外 联 ， 则 可 以 使 用 命 令 l s   - a l t   / p r o c / 1 1 1 1 命 令 查 看 其 对 应 的 可 执 行 程 序 。 p r o c 是 一 个 虚 拟 的 文 件 系 统 ， 每 个 进 程 下 都 对 应 了 多 个 文 件 ， 这 些 文 件 的 作 用 也 不 同 ， 例 如 还 是 1 1 1 1 ， 查 看 该 P I D 下 的 可 执 行 程 序 ， 那 么 就 可 以 查 看 / p r o c / 1 1 1 1 / e x e ：
或 者 使 用 l s o f 命 令 的 p 参 数 指 定 P I D ， 来 查 看 其 进 程 所 打 开 的 文 件 ： 如 果 发 现 了 恶 意 进 程 ， 则 可 以 使 用 k i l l   - 9   P I D 命 令 进 行 结 束 ， 然 后 使 用 r m   - r f   f i l e n a m e 进 行 文 件 删 除 ， 如 果 r o o t 也 无 法 删 除 相 关 文 件 ， 那 么 该 文 件 可 能 被 添 加 了 i 属 性 ， 可 以 先 通 过 c h a t t r   - i 进 行 去 除 再 进 行 删 除 操 作 。 有 时 攻 击 者 会 将 进 程 隐 藏 ， 所 以 需 要 查 看 隐 藏 进 程 ， 按 顺 序 执 行 以 下 命 令 ： 上 面 三 条 命 令 相 当 于 是 把 p s 的 信 息 和 p r o c 的 信 息 进 行 了 对 比 ， 找 出 不 一 样 的 地 方 ， 如 果 嫌 麻 烦 ， 则 可 以 安 装 u n h i d e 工 具 ， 进 行 检 查 。 p s   - e f   |   a w k   ' { p r i n t } '   |   s o r t   - n   |   u n i q   > 1 l s   / p r o c   |   s o r t   - n   |   u n i q   > 2 d i f f   1   2 a p t - g e t   i n s t a l l   u n h i d e y u m   i n s t a l l   u n h i d e
根 据 自 己 操 作 系 统 安 装 后 ， 执 行 u n h i d e   p r o c 命 令 ， u n h i d e 会 将 p s 和 p r o c 进 行 对 比 ， 相 当 于 上 面 我 们 手 动 执 行 的 那 三 条 命 令 ， 更 多 用 法 可 参 考 m a n 手 册 。 对 于 一 些 挖 矿 等 程 序 ， 可 以 使 用 t o p 命 令 把 程 序 按 c p u 占 比 列 出 来 查 看 ： 服 务 排 查 服 务 排 查 命 令 s y s t e m c t l   |   g r e p   r u n n i n g 查 看 系 统 运 行 的 服 务 ： 之 前 老 版 本 系 统 可 以 使 用 c h k c o n f i g   - - l i s t 查 看 ， 现 在 基 本 不 多 了 ， 被 s y s v - r c - c o n f 命 令 替 代 了 。
使 用 s e r v i c e   - - s t a t u s - a l l 查 看 所 有 服 务 的 状 态 ： 敏 感 文 件 排 查 敏 感 文 件 排 查 1 ， 一 些 敏 感 目 录 ， 例 如 / t m p 、 / u s r / b i n 、 / u s r / s b i n 等 常 被 作 为 恶 意 软 件 的 下 载 目 录 和 关 键 文 件 替 换 的 目 录 ， 查 看 这 些 目 录 是 否 有 不 想 管 或 恶 意 文 件 。 对 于 一 些 可 执 行 文 件 ， 如 果 事 先 安 装 了 t r i p w r i e 或 者 a i d e 等 检 查 工 具 ， 则 可 以 通 过 这 些 工 具 来 检 查 系 统 可 执 行 文 件 是 否 有 过 改 动 ， 如 果 没 有 相 关 的 监 控 工 具 ， 则 可 以 找 一 个 没 有 被 改 过 的 系 统 计 算 其 h a s h 进 行 对 比 。 2 ， ~ / . s s h 和 / e t c / s s h 也 会 常 被 作 为 后 面 配 置 路 径 ， 需 进 行 相 关 检 查 ， 看 是 否 有 其 它 的 公 私 钥 免 密 登 录 ：
3 ， 再 一 个 就 是 对 攻 击 日 期 内 变 动 的 文 件 进 行 排 查 ， 通 过 f i n d 命 令 查 找 指 定 时 间 段 内 增 加 或 修 改 过 的 文 件 ： 例 如 查 找 一 天 内 新 增 的 s h 文 件 ， 则 运 行 命 令 f i n d   /   - c t i m e   0   - n a m e   " * . s h " 4 ， 使 用 s t a t 命 令 可 查 看 文 件 的 创 建 时 间 、 修 改 时 间 和 访 问 时 间 ， 如 果 离 响 应 时 间 较 近 ， 则 可 能 被 篡 改 。 5 ， 特 殊 文 件 排 查 ， 例 如 查 找 7 7 7 权 限 的 文 件 ， 命 令 ： f i n d   / t m p   - p e r m   7 7 7 6 ， w e b s h e l l 查 找 ， l i n u x 下 可 以 通 过 f i n d w e b s h e l l 、 s c a n _ w e b s h e l l . p y 等 来 进 行 扫 描 排 查 。 这 里 就 不 尝 试 了 ， 都 是 p y t h o n 脚 本 ， 机 器 装 有 p y t h o n 环 境 下 载 执 行 即 可 。 7 ， 系 统 命 令 排 查 ， 像 l s 、 p s 等 命 令 可 能 存 在 被 替 换 的 风 险 ， 可 以 查 看 系 统 命 令 的 修 改 时 间 或 者 文 件 大 小 来 判 断 。 或 者 进 行 h a s h 比 对 。 - t y p e   b / d / c / p / l / f ： 块 设 备 、 目 录 、 字 符 设 备 、 管 道 、 符 号 链 接 、 普 通 文 件 。 - m t i m e   - n   + n ： 按 更 改 时 间 查 找 ， - n 指 n 天 以 内 ， + n 指 n 天 前 。 - a t i m e   - n   + n ： 按 访 问 时 间 查 找 。 - c t i m e   - n   + n ： 按 创 建 时 间 查 找 。
8 ， 后 门 检 查 ， 可 以 使 用 第 三 方 查 杀 工 具 进 行 查 杀 。 例 如 c h k r o o t k i t ， r k h u n t e r 。 使 用 c h k r o o t k i t 来 检 测 r o o t k i t 后 门 程 序 ： 使 用 r k h u n t e r 来 检 测 系 统 命 令 ， 包 括 m d 5 校 验 、 r o o t k i t 检 测 、 本 机 敏 感 目 录 检 测 、 系 统 配 置 检 测 、 服 务 及 套 件 异 常 检 测 、 第 三 方 应 用 程 序 检 测 等 。 日 志 分 析 日 志 分 析 l i n u x 的 相 关 日 志 基 本 都 在 / v a r / l o g / 下 ， 相 关 说 明 如 下 ： / v a r / l o g / w t m p ： 记 录 登 入 、 退 出 、 关 机 、 重 启 等 ， 相 当 于 l a s t 命 令 。 / v a r / l o g / c r o n ： 记 录 定 时 任 务 的 相 关 日 志 。 / v a r / l o g / m e s s a g e s ： 记 录 系 统 启 动 后 的 信 息 和 错 误 日 志 ， 其 中 也 会 记 录 某 个 用 户 切 换 到 r o o t 权 限 的 日 志 。 / v a r / l o g / a p a c h e 2 / a c c e s s . l o g ： 记 录 a p a c h e 访 问 日 志 。 / v a r / l o g / a u t h . l o g ： 记 录 授 权 信 息 。 / v a r / l o g / u s e r l o g ： 记 录 所 有 等 级 用 户 信 息 的 日 志 。 / v a r / l o g / x f e r l o g ( v s f t p d . l o g ) ： 记 录 f t p 日 志 。 / v a r / l o g / l a s t l o g ： 记 录 登 录 的 用 户 ， 可 用 l a s t l o g 查 看 。 / v a r / l o g / s e c u r e ： 记 录 大 多 数 应 用 登 录 成 功 和 失 败 的 日 志 。 / v a r / l o g / f a i l l o g ： 记 录 系 统 登 录 失 败 的 账 号 信 息 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理