搜索

[1045] 2021-03-01_Linux命令被劫持了，怎么处理

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2021-03-01_Linux命令被劫持了，怎么处理 L i n u x   命 令 被 劫 持 了 ， 怎 么 处 理 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 3 - 0 1 在 一 些 应 急 场 景 中 ， 我 们 经 常 会 遇 到 有 些 木 马 会 替 换 常 用 的 系 统 命 令 进 行 伪 装 ， 即 使 我 们 清 理 了 木 马 ， 执 行 p s 、 n e t s t a t 等 系 统 命 令 时 又 启 动 了 木 马 进 程 。 这 种 手 法 相 对 比 较 隐 蔽 ， 排 查 起 来 也 比 较 困 难 ， 本 文 分 享 两 种 比 较 简 单 的 排 查 技 巧 。 1 、 、 A I D E   入 侵 检 测 入 侵 检 测 A I D E   是 一 款 入 侵 检 测 工 具 ， 主 要 用 途 是 检 查 文 档 的 完 整 性 。 通 过 构 建 一 个 基 准 的 数 据 库 ， 保 存 文 档 的 各 种 属 性 ， 一 旦 系 统 被 入 侵 ， 可 以 通 过 对 比 基 准 数 据 库 而 获 取 文 件 变 更 记 录 。 ( 1 ) a i d e 安 装 配 置 ( 2 ) 进 行 检 测 对 比 # 直 接 安 装 a i d e y u m   i n s t a l l   a i d e   - y # 生 产 初 始 化 数 据 库 s u d o   a i d e   - - i n i t # 根 据 配 置 文 件 命 名 规 则 生 成 新 的 数 据 库 文 件 ， 需 要 重 命 名 ， 以 便 A I D E 读 取 。 s u d o   m v   / v a r / l i b / a i d e / a i d e . d b . n e w . g z   / v a r / l i b / a i d e / a i d e . d b . g z s u d o   a i d e   - - c h e c k
如 上 ， 通 过 对 比 可 以 快 速 发 现 系 统 命 令 P S 被 篡 改 。 2 、 、 R P M   检 查 检 查 通 过 r p m   - V a 来 检 查 已 安 装 的 r p m 包 的 完 整 性 ， 防 止 r p m 也 被 替 换 ， 可 上 传 一 个 安 全 干 净 稳 定 版 本 的 r p m 二 进 制 文 件 到 服 务 器 上 进 行 检 查 。 如 果 一 切 均 校 验 正 常 将 不 会 产 生 任 何 输 出 ， 如 果 有 不 一 致 的 地 方 ， 就 会 显 示 出 来 ， 输 出 格 式 是 8 位 长 字 符 串 ， 每 个 字 符 都 用 以 表 示 文 件 与 R P M 数 据 库 中 一 种 属 性 的 比 较 结 果   ， 如 果 是 .   ( 点 )   则 表 示 测 试 通 过 。 验 证 内 容 中 的 8 个 信 息 的 具 体 内 容 如 下 ： S                   文 件 大 小 是 否 改 变 M                   文 件 的 类 型 或 文 件 的 权 限 （ r w x ） 是 否 被 改 变 5                   文 件 M D 5 校 验 是 否 改 变 （ 可 以 看 成 文 件 内 容 是 否 改 变 ） D                   设 备 中 ， 从 代 码 是 否 改 变 L                   文 件 路 径 是 否 改 变 U                   文 件 的 属 主 （ 所 有 者 ） 是 否 改 变 G                   文 件 的 属 组 是 否 改 变 T                   文 件 的 修 改 时 间 是 否 改 变
如 上 ， p s 命 令 左 侧 显 示 T ， 代 表 这 个 系 统 文 件 的 修 改 时 间 被 改 变 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理