|
|
楼主 |
发表于 2021-3-21 23:17:12
|
显示全部楼层
文件分析-敏感文件信息
在linux系统下一切都是文件。其中/tmp是一个特别的临时文件。每个用户都可以对他进行操作。因此一个普通用户可以对/tmp目录执行读写操作。 ls -alt /
文件分析-敏感文件信息
查看开机启动项内容 /etc/init.d/,恶意代码很有可能设置在开机自启动的位置。
查看指定目录下文件时间顺序的排序：ls -alt | head -n 10
查看文件时间属性 ： stat 文件名
文件分析-敏感文件信息
新增文件分析：
查找24小时内被修改的文件
find ./ -mtime 0 -name "*.php"
查找72小时内新增的文件
find ./-crtime -2 name "*.php"
权限查找：在linux系统中，如果具有777权限，那么文件很有可疑。
find./-iname ".php" -perm 777 其中 -iname忽略大小写，-perm用于 设定筛选文件权限
进程分析-网络连接分析
在linux中可以使用netstat 进行网络连接查看
netstat -Print network connections ，routing tables,interface statistics,masquerade connections,and multicast memberships
若想查看具体参数可参照 man netstat
常用命令netstat -pantl 查看处于tcp网络套接字相关信息。
关闭未知连接 kill -9 pid即可关闭
进程分析-进程所对文件
在linux可以使用ps查看进程相关信息。
使用ps aux查看 所有进程信息
使用ps aux|grep PID 筛选具体PID的进程信息，losf -i：端口号 也可以实现类似功能
登陆分析
在linux做的操作都会被记录到系统日志中，对于登录也可以查看日志信息查看是否有异常登录。
last 命令last -i| grep -v 0.0.0.0 查看登陆日志，筛选非本地登录
w命令 实时登录查看
异常用户分析排查
在linux 中 root用户是一个无敌的存在，可以在linux上做任何事情。
新建用户 useradd username
设置密码 passwd username输出密码
设置用户 uid 和gid都为0.（root用户的uid为0 gid为0）
cat /etc/passwd
grep "0:0"/etc/passwd
ls -l /etc/passwd
awk -F:'$3==0 {print $1}'/etc/passwd
awk -F:'$2=="!"{print $1}'/etc/shadow 或awk -F:'length($2)==0{print $1}'/etc/shadow
历史命令分析history
在linux系统中默认会记录之前执行的命令 /root/.bash_history文件中。用户可以使用cat /root/.bash_history进行查看或者使用history命令查看
pay attention：wegt（可能远程下载木马）、SSH（连接内网主机）、tar zip类命令（数据打包）、系统配置等（命令修改）
计划任务排查crontab
在Linux系统中使用命令crontab进行计划任务的设定
其中-e可以用来编辑设定计划任务，-l可以用来查看当前计划任务，-d用来删除计划任务。
特别注意计划任务中未知内容
开机启动项
在linux（Debian）系统中 /etc/init.d/目录下保存着 开机自启动程序的目录
用户可以直接使用 /etc/init.d/程序名称 status 查看状态
使用update-rc.d程序名称 disable取消开启自启动 enable打开开机启动
$path 变量异常
后门排查 -rkhunter
rkhunker具有以下功能：
1.系统命令检测，MD5校验
2、ROOkit检测
3.本机敏感目录、系统配置异常检测
rkhunker -check -sk -c，--check（check the local system）
--sk，--skip -keypress don't wait for a keypress after each test
|
|
