后门排查方法项

后门排查方法项

Linux系统后门排查

1. 检查系统账号：入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。可以编辑/etc/passwd文件中的新增的潜藏用户，还可以利用awk命令，查询uid=0以及uid>=500的所有用户名。
2. 检查异常端口：使用netstat网络连接命令，分析可疑端口、IP、PID等信息。
3. 检查可疑进程：使用ps命令列出系统中当前运行的那些进程，分析异常的进程名、PID，可疑的命令行等。
4. 检查系统服务：Linux系统服务管理，CentOS7使用systemd控制 CentOS6之前使用chkconfig控制。
5. 检查开机启动项：检查启动项脚本。
6. 检查计划任务：利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。
7. 检查异常文件：检查系统中是否存在异常文件。
8. 检查历史命令：检查系统的历史命令记录，查看是否有异常操作。

Windows系统后门排查

1. 分析入侵过程：分析系统被入侵的过程，了解入侵者可能使用的手段和工具。
2. 检查系统账号安全：检查系统账户，查看是否有异常账户。
3. 检查异常端口、进程：使用相关工具检查系统的端口和进程，查看是否有异常。
4. 检查启动项、计划任务和服务：检查系统的启动项、计划任务和服务，查看是否有异常。
5. 检查系统相关信息：检查系统的配置信息，查看是否有被修改的情况。
6. 日志分析：分析系统的日志信息，查看是否有异常操作记录。

内存马排查

内存马的排查需要专门的工具和技术，目前还没有通用的排查方法。

Rootkit后门排查

Rootkit后门的排查需要专门的工具，如RKHunter，并且需要对系统进行深入的分析。

以上是对Linux系统、Windows系统的后门排查，以及系统后门、内存马、Rootkit后门的排查方法的总结。这些方法可以帮助我们发现和防止系统被入侵，保护系统的安全。

‍