Linux服务器被黑客攻击，安全检查方法_centos 被黑客ssh登陆,查看操作(3)

2401_84297944

于 2024-05-17 00:40:19 发布

阅读量934

点赞数 28

分类专栏： 2024年程序员学习文章标签：网络安全 web安全面试

本文链接：https://blog.csdn.net/2401_84297944/article/details/138980487

版权

2024年程序员学习专栏收录该内容

35 篇文章 0 订阅

订阅专栏

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源

需要体系化学习资料的朋友，可以加我V获取：vip204888 （备注网络安全）

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

awk -F: ‘$3==0 {print $1}’ /etc/passwd


**三、查看系统里有没有空口令帐户**

awk -F: ‘length($2)==0 {print $1}’ /etc/shadow


**四、检查系统守护进程**

cat /etc/xinetd.conf | grep -v “^#” #这个进程在centos7以上没有了


**五、检查网络连接和监听端口**

netstat –an

netstat –rn

ifconfig –a


**六、查看正常情况下登录到本机的所有用户的历史记录**

last


**七、检查系统中的 core 文件**

find / -name core -exec ls -l {} ;


**八、检查系统文件完整性**

rpm -Vf /bin/ls

rpm -Vf /usr/sbin/sshd

rpm -Vf /sbin/ifconfig

rpm -Vf /usr/sbin/lsof

md5sum –b 文件名

md5sum –t 文件名


**九、查找是否有后门**

cat /etc/crontab

ls /var/spool/cron/ ; crontab -l #查看定时任务是否被修改

cat /etc/rc.d/rc.local

ls /etc/rc.d

ls /etc/rc3.d

find / -type f -perm 4000 #查看是否为管理员增加或者修改


**十、查看临时目录是否存在攻击者入侵时留下的残余文件**

#tail -n 100 ~/.bash_history | more

#是否存在.c .py .sh为后缀的文件或者2进制elf文件
ls -la /tmp
ls -la /var/tmp
find / -name *.elf | xargs ls -l


**十一、在web目录下运行**

#查看是否有木马
grep -r “getRuntime” ./

#运行的时候被连接或者被任何程序调用
find . -type f -name “*.jsp” | xargs grep -i “getRuntime”

#返回ip地址字符串
find . -type f -name “*.jsp” | xargs grep -i “getHostAddress”

#创建WshShell对象可以运行程序、操作注册表、创建快捷方式、访问系统文件夹、管理环境变量
find . -type f -name “*.jsp” | xargs grep -i “wscript.shell”

#gethostbyname()返回对应于给定主机名的包含主机名字和地址信息的hostent结构指针
find . -type f -name “*.jsp” | xargs grep -i “gethostbyname”

#调用系统命令提权
find . -type f -name “*.jsp” | xargs grep -i “bash”

#Jsp木马默认名字
find . -type f -name “*.jsp” | xargs grep -i “jspspy”

#检查是否有非授权访问管理日志
find . -type f -name “*.jsp” | xargs grep -i “getParameter”

#要进中间件所在日志目录运行命令
fgrep –R “admin_index.jsp” 20170702.log > log.txt #递归地读取每个目录下的所有文件

#查看是否出现对应的记录
fgrep –R “and1=1” *.log > log.txt
fgrep –R "select " *.log > log.txt
fgrep –R "union " *.log > log.txt
fgrep –R “…/…/” *.log > log.txt
fgrep –R “Runtime” *.log > log.txt
fgrep –R “passwd” *.log > log.txt

#查看是否有shell攻击
fgrep –R “uname -a” *.log > log.txt
fgrep –R “id” *.log > log.txt
fgrep –R “ifconifg” *.log> log.txt
fgrep –R “ls -l” *.log > log.txt


**十二、安装chrootkit,检查是否有rootkit**   
 rootkit是入侵者经常使用的工具,这类工具可以隐秘、令用户不易察觉的建立了一条能够总能够入侵系统或者说对系统进行实时控制的途径。

yum install -y glibc-static
mkdir chrootkit
cd chrootkit/
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
tar zxvf chkrootkit.tar.gz
cd chkrootkit-0.52/
make sense #编译
./chkrootkit #检测命令，若出现INFECTED那就要小心了(./chkrootkit | grep INFECTED)


检测脚本,放到定时任务里面即可

#!/bin/bash
#sript name：chkrootkit.sh

TOOLKITSPATH=/usr/local
MAILUSER=root@localhost
file_chkrootkit_log=chkrootkitcron.log
servername=hostname
date=date +%Y-%m-%d

cd ${TOOLKITSPATH}/chkrootkit
./chkrootkit > ${file\_chkrootkit\_log} [ ! -z "$ (grep INFECTED ${file_chkrootkit_log})" ] &&
grep INFECTED ${file_chkrootkit_log} | mail -s “[chkrootkit] report in ${servername} ${date}” ${MAILUSER}