Linux操作系统敏感文件监控开发

最新推荐文章于 2025-03-18 00:15:00 发布
原创 最新推荐文章于 2025-03-18 00:15:00 发布 · 3.3k 阅读 · 28 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #服务器 #运维

敏感文件监控

入侵检测很多，总结起来就是两大部分：流量，文件。

针对敏感文件进行监控：是否被篡改，是否新增内容，是否被删除... 进而发送通知，系统管理员可以及时关注到系统的运行情况。

一、敏感文件的监控原理

判断一个文件是否被篡改：可以使用 md5sum 命令记录文件的md5的数字指纹。md5是一种摘要算法，是不可逆的加密，只用于表示某个文件是否被篡改，或者用于保存密码。

在安全状态下，针对敏感文件生成基线的摘要数据（保存起来，下一次，再根据当前最新的文件状态生成一次，两次进行对比，可以知道是否被篡改）（潜在的风险：基线数据也被改了。解决方案：离线保存）

另外，针对文本型文件，还可以继续深入，去比较那些内容被篡改了。

二、先进行基线操作

 进行备份
 cd /opt
 mkdir -p baselearn/files
 cd baselearn/
 cp ../learn/* ./files/
 ​
 将 /opt/learn 中的文件备份在 /opt/baselearn/files/ 里面，一旦 /opt/learn 中的文件被篡改了，通过和 /opt/baselearn/files/ 中的文件进行md5sum 和 diff 的对比，就知道了到底是哪里出了问题
 ​
 md5sum /opt/learn*  #md5无法针对文件夹进行摘要，所以，如果learn目录下有文件夹则此命令无法成功执行
 那我们该如何解决这个问题呢？即如何直接对全部的文件进行md5加密计算？
 我们应该尝试先找到所有的文件，这样执行md5就容易多了
 find /opt/learn -type f | xargs md5sum  
 #这是比较标准的用法,找到/opt/learn这个目录下的所有文件并计算其md5摘要值
 find /opt/learn -type f | xargs md5sum > /opt/baselearn/learn.md5.base  
 #将上面计算好的基线数据保存起来
 #利用 md5sum -c learn.md5.base 来检查文件是否被篡改
 md5sum -c learn.md5.base
 ​
 说白了 -c 参数是用来重新检查文件的md5值的，比如我将一个目录下的所有文件的md5值全部重定向到了一个文件中(例如 learn.md5.base)，然后我使用 md5sum -c learn.md5.base 就可以重新检查之前检查过的目录然后和这个文件中的md5值进行对比

image-20231015162153010

当然上面这个图不是上面的文件，只是演示一下结果

image-20231015163023147

其次，我们还可以使用 --quiet 参数来直接输出重新计算错误的文件

 md5sum -c --quiet learn.md5.base
 #当然，这种方式完全可以使用grep来代替
 ​
 #然后将对比失败的文件信息保存到 learn.diff
 md5sum -c --quiet learn.md5.base > learn.diff

image-20231015163151100

三、比较文件内容的具体修改部分

在这里使用的是 diff

 diff /opt/learn/date.txt /opt/baselearn/files/date.txt
 2d1
 < 2021-08-18 15:44:06
 ​
 diff /opt/baselearn/files/date.txt /opt/learn/date.txt
 1a2
 > 2021-08-18 15:44:06
 ​
 比较两个文件内容的不同之处：d 代表删除，a 代表新增， c 代表修改
 2d1 ：左边的文件的第二行相对于右边的文件第一行删除了一行

那么如何检测目录下有新增的文件，在这里就拿 /opt/learn/ 目录中的文件 和 /opt/baselearn/files/ 中的文件进对比（因为原本/opt/baselearn/files/ 中的文件就是/opt/learn/ 中文件的备份 ）

 diff /opt/learn/ /opt/baselearn/files/ | grep ^diff | awk '{print $2}'
 #最终结果就是被修改的文件
 diff /opt/learn/ /opt/baselearn/files/ | grep ^Only     #列出文件新增或删除的信息
 ​
 基于上述信息，通过sed替换得到完整的文件名
 diff /opt/learn/ /opt/baselearn/files/ | grep ^Only | sed -e 's/Only in //g' -e 's/://g'
 ​
 例如：
 [root@mycentos learn]# md5sum -c learn.md5.base 
 /opt/learn/moniter.sh: 确定
 /opt/learn/site_check.log: 确定
 /opt/learn/site_check.sh: 确定
 /opt/learn/test.txt: 确定
 ​
 [root@mycentos learn]# md5sum -c learn.md5.base | sed 's/: 确定//g'
 /opt/learn/moniter.sh
 /opt/learn/site_check.log
 /opt/learn/site_check.sh
 /opt/learn/test.txt
 ​

 target=$1 #这是原来的目录
 base=$2 #这是备份出来的目录
 action=$3
 ​
 if [ $action = "new" ]; then
     mkdir $base/files   #创建备份的目标位置
     cp $target/* $base/files/   #执行备份
     find $target -type f | xargs md5sum > $base/learn.md5   #将备份前目录下的所有文件生成md5摘    要值并输出重定向到 /opt/baselearn/learn.md5 中
 fi
 ​
 echo > $base/result.log
 ​
 md5sum -c --quiet $base/learn.md5 1> $base/learn.diff 2> /dev/null  #重新计算 /opt/baselearn/learn.md5 这个文件中不同文件的md5值并进行比较，将对比结果不一样的文件输出重定向，1> 重定向我们想要的内容，2> 将类似于 “md5sum: /opt/learn/moniter.sh: 没有那个文件或目录md5sum: 警告：1 个列出的文件无法读取”这种的信息丢掉
 ​
 remove=$(cat $base/learn.diff | grep "打开或读取失败" | sed 's/打开或读取失败//g') #意思就是查询之后删除一点内容，使输出更简洁 英文版的就将 打开或读取失败 换为 FAILED open or read
 ​
 if [ $? -eq 0 ]; then
     echo "$target folder was removed some files: $remove" | tee -a $base/result.log
 fi
 ​
 change=$(cat $base/learn.diff | grep "失败$")
 if [ $? -eq 0 ]; then
     echo "$target folder was changed some files: $change" | tee -a $base/result.log
     diff $target/ $base/files/
 fi
 #英文版的就将 失败 换为 FAILED
 ​
 list=$(diff $target/ $base/files/ | grep ^只在 | sed -e 's/只在 //g' -e 's/ 存在：//g') #英文版的就是Only 和 :
 if [ $? -eq 0 ]; then
     echo "两个目录中有文件的数量的变化：$list" | tee -a $base/result.log
 fi
 ​
 mail -s "关键文件监控警报" 2811403517@qq.com < $base/result.log

比较文件的具体修改内容

 [root@mycentos opt]# diff /opt/learn/date.txt /opt/baselearn/files/date.txt
 2d1
 < 2023-10-16 19:15:34
 ​
 [root@mycentos opt]# diff /opt/baselearn/files/date.txt /opt/learn/date.txt
 1a2
 > 2023-10-16 19:15:34
 ​
 比较两个文件内容的不同之处： d 代表 删除，a 代表 新增，c 代表 修改
 ​
 #如何检测被检测目录下有新的文件
 diff /opt/learn /opt/baselearn/files/
 ​
 diff /opt/learn/ /opt/baselearn/files/ | grep ^diff | awk '{print $2}'
 ​
 diff /opt/learn/ /opt/baselearn/files/ | grep ^Only     #列出文件新增或删除的信息
 ​
 #基于上述信息，通过sed替换得到完整的文件名
 diff /opt/learn/ /opt/baselearn/files/ | grep ^Only | sed -e 's/Only in //g' -e 's/://g

image-20231016193726961

优化

1.完成上述敏感文件检测的脚本

2.确保已知的4个bug被修复：

  • 参数没有检查

  • 没有判断文件被修改的内容

    image-20231016204515306

    这个问题可以用 diff 的结果来解决，搭配 grep awk 等指令

  • 路径名里少了 / 符

  • 不管如何哪怕 $remove 和 $change 是空的，if 条件判断也依然是对的

3.防火墙应急安全

  • 如果发现有用户远程登录，并且失败多次，则直接封锁IP，并且强制断开对方可能的SSH连接

 target=$1 #这是原来的目录
 base=$2 #这是备份出来的目录
 action=$3
 ​
 ​
 if [ $action = "new" ]; then
         mkdir $base/files       #创建备份的目标位置
         cp $target/* $base/files/       #执行备份
         find $target -type f | xargs md5sum > $base/learn.md5
 fi
 ​
 echo > $base/result.log
 #正事开始之前，先清空日志文件
 ​
 md5sum -c --quiet $base/learn.md5 1> $base/learn.diff 2> /dev/null
 ​
 remove=$(cat $base/learn.diff | grep "打开或读取失败" | sed 's/：打开或读取失败//g')
 ​
 if [ $? -eq 0 ]; then
         echo "$target folder was removed some files: $remove" | tee -a $base/result.log
 fi
 ​
 change=$(cat $base/learn.diff | grep "失败$" | sed -e 's/失败//g' -e 's/: 打开或读取失败//g')
 if [ $? -eq 0 ]; then
         echo "$target folder was changed some files: $change" | tee -a $base/result.log
         diff $target/ $base/files/  #这个输出的就是两个文件不同的内容
 fi
 ​
 list=$(diff $target/ $base/files/ | grep ^只在 | sed -e 's/只在 //g' -e 's/ 存在：//g' | sed 's/\////g')
 if [ $? -eq 0 ]; then
         echo "两个目录中有文件的数量的变化：$list" | tee -a $base/result.log
 fi
 ​
 mail -s "关键文件监控警报" 2811403517@qq.com < $base/result.log
 ​

问题一：

输出错误信息，但错误结果为空

image-20231018215101553

从这里我们可以看到，就算我们

/opt/baselearn/learn.diff 文件中没有任何关于 FAILED open or read 的信息

但是我们依然使用了 sed 而且该命令使用完了之后 $? 的结果还是 0

我们将其赋值给 remove 的命令的 $? 的结果是 0 说明我们将一个空赋值给了 remove

这样使得 if [ $? -eq 0 ] 判断条件虽然成立，但是 remove 这个变量却是空的

所以就导致了，即使没有remove这个错，但依然输出了这句话 $target folder was removed some files

image-20231018215805044

就像这样，明明是空，但却依然输出了前面的话，该如何解决呢？

 将
 if [ $? -eq 0 ]; then
         echo "$target folder was removed some files: $remove" | tee -a $base/result.log
 fi
 改为
 if [ ${#remove} -gt 0 ]; then
         echo "$target folder was removed some files: $remove" | tee -a $base/result.log
 fi

同理可得：

 将
 if [ $? -eq 0 ]; then
         echo "$target folder was changed some files: $change" | tee -a $base/result.log
         diff $target/ $base/files/  #这个输出的就是两个文件不同的内容
 fi
 改为
 if [ ${#change} -gt 0 ]; then
         echo "$target folder was changed some files: $change" | tee -a $base/result.log
         diff $target/ $base/files/  #这个输出的就是两个文件不同的内容
 fi
 ​
 ​
 将
 if [ $? -eq 0 ]; then
         echo "两个目录中有文件的数量的变化：$list" | tee -a $base/result.log
 fi
 改为
 if [ ${#list} -gt 0 ]; then
         echo "两个目录中有文件的数量的变化：$list" | tee -a $base/result.log
 fi

问题二：

简化界面输出：

 将
 echo "$target folder was removed some files: $remove" | tee -a $base/result.log
 改为
 echo -e "******$target folder was removed some files:****** \n$remove\n" | tee -a $base/result.log
 ​
 同理：其他的 echo 都是一样的
 ​
 ​

问题三：

双斜杠的输出

image-20231019175654879

 将
 list=$(diff $target/ $base/files/ | grep ^只在 | sed -e 's/只在 //g' -e 's/ 存在：//g' | sed 's/\////g')
 if [ $? -eq 0 ]; then
         echo "两个目录中有文件的数量的变化：$list" | tee -a $base/result.log
 fi
 修改为
 list=$(diff $target/ $base/files/ | grep ^只在 | sed -e 's/只在 //g' -e 's/ 存在：//g' -e 's/\/\//\//g')
 if [ ${#list} -gt 0 ]; then
         echo -e "******两个目录中有文件的数量的变化：****** \n$list" | tee -a $base/result.log
         diff $target/ $base/files/ | head -n 1 | sed -e 's/\/\//\//g'
         echo -e "\n"
 fi
 ​

问题四：

判断文件参数是否存在

使用 test 命令，配合逻辑或

在最上面的 参数 赋值 下面添加以下指令

 if [ ! -d $target ]; then
         echo "参数一不是一个有效目录"
         if [ ! -d $base ]; then
                 echo "参数二不是一个有效目录"
         fi
         exit 1
 fi
 ​

问题五：

如果将脚本应用于真正的文件中会有什么样的效果？

image-20231019204348071

image-20231019204356177

image-20231019204920491

如果第一个参数下还有目录呢，我们 cp 只是 cp 的普通文件

我们可以看到问题有：略过目录；自动执行了最后一个文件数量变化的检查功能

如何解决这些问题呢？

为什么会略过目录？？？

 仔细一想原来是cp命令的问题，我们普通的cp命令只是简单的拷贝普通文件，要想拷贝目录，还得加上 -r 参数
 将
 cp $target/* $base/files/
 改为
 cp -r $target/* $base/files/

改完之后就变成了这样

image-20231019205055034

最终成果：

 target=$1 #这是原来的目录
 base=$2 #这是备份出来的目录
 action=$3
 ​
 if [ ! -d $target ]; then
         echo "参数一不是一个有效目录"
         if [ ! -d $base ]; then
                 echo "参数二不是一个有效目录"
         fi
         exit 1
 fi
 ​
 if [ $action = "new" ]; then
         mkdir $base/files       #创建备份的目标位置
         cp -r $target/* $base/files/       #执行备份
         find $target -type f | xargs md5sum > $base/learn.md5
 fi
 ​
 echo > $base/result.log
 #正事开始之前，先清空日志文件
 ​
 md5sum -c --quiet $base/learn.md5 1> $base/learn.diff 2> /dev/null
 ​
 remove=$(cat $base/learn.diff | grep "打开或读取失败" | sed 's/：打开或读取失败//g')
 ​
 if [ ${#remove} -gt 0 ]; then
         echo -e "******$target folder was removed some files:****** \n$remove\n" | tee -a $base/result.log
 fi
 ​
 change=$(cat $base/learn.diff | grep "失败$" | sed -e 's/失败//g' -e 's/: 打开或读取失败//g')
 if [ ${#change} -gt 0 ]; then
         echo "******$target folder was changed some files:****** \n$change" | tee -a $base/result.log
         diff $target/ $base/files/  #这个输出的就是两个文件不同的内容
 fi
 ​
 list=$(diff $target/ $base/files/ | grep ^只在 | sed -e 's/只在 //g' -e 's/ 存在：//g' -e 's/\/\//\//g')
 if [ ${#list} -gt 0 ]; then
         echo -e "******两个目录中有文件的数量的变化：****** \n$list" | tee -a $base/result.log
         diff $target/ $base/files/ | head -n 1 | sed -e 's/\/\//\//g'
         echo -e "\n"
 fi
 ​
 mail -s "关键文件监控警报" 2811403517@qq.com < $base/result.log

扩展内容：

目前的功能主要实现了针对某个特定目录下的所有普通文件进行监控，到那时，如果作为一个真正意义上的监控工具，通常会监控多个目录，会监控多个文件，甚至会指定监控某些特定文件

渗透测试中Windows、Linux敏感文件
weixin_46239998的博客
04-30 3425
渗透测试中常用的敏感文件
在kali linux里使用DirBuster寻找敏感文件和目录
2201_76034619的博客
06-01 941
DirBuster, buster英[ˈbʌstə®] n. 破坏者；程序DirBuster使用Java编写。所有使用Java语言编写的程序要想正常使用，基本都需要安装JDK（JDK, Java Development Kit 实际上需要用的是JRE, Java Runtime Environment，但是JDK包含了JRE)，并且要配置环境变量。DirBuster是一个多线程的应用程序，设计用于暴力破解Web 应用服务器上的目录名和文件名的工具。
Linux 监控文件被什么进程修改(详解)
01-10
安装: apt-get install auditd. 1.auditd 是后台守护进程，负责监控记录 2.auditctl 配置规则的工具 3.auditsearch 搜索查看 4.aureport 根据监控记录生成报表 比如，监控 /root/.ssh/authorized_keys 文件是否被修改过： aditctl -w /root/.ssh/authorized_keys -p war -k auth_key •-w 指明要监控的文件 •-p awrx 要监控的操作类型，append, write, read, execute •-k 给当前这条监控规则起个名字，方便搜索过滤 查看修
【操作系统】linux敏感文件
b10d9的博客
10-10 3558
linux敏感文件1、/etc/passwd2、/etc/shadow3、/etc/sudoers 1、/etc/passwd 记录操作系统用户信息的文件。 格式：用户名:口令:用户标识号（UID）:组标识号（GID）:注释性描述:主目录:登录Shell 示例：root:x:0:0:root:/root:/bin/bash 说明： 1）每行记录一个用户，每行共7个字段，冒号分隔。 2）由于passwd文件是所有用户可读。密码出于安全考虑存放在shadow文件中，口令字段现在不存放密码，所以口令字段现在用x
linux下敏感文件（账号密码）查找—内网渗透linux主机密码收集
渗透之路，攻防之间皆学问
09-30 4814
在打内网的时候经常需要对linux主机进行账号密码搜集，手动翻找文件是一件体力活，特别是当文件特别多的时候，翻找文件将需要耗费大量的时间，本文可针对linux主机文件中的账号密码信息进行快速查找
Unix_Linux操作系统安全(二).pdf
09-07
总的来说，这篇文档详细阐述了Unix/Linux操作系统的审计机制和密码加密策略，这些都是保证系统安全、防范恶意攻击和数据泄露的基础。通过对日志的监控和密码的加密，可以有效地提升系统的安全性，保护用户数据和系统...
基于Linux操作系统平台的服务器安全策略.pdf
09-06
【基于Linux操作系统平台的服务器安全策略】 随着互联网技术的飞速发展，Linux操作系统因其开源、稳定和高效的特点，被广泛应用于服务器领域。然而，随之而来的是网络安全问题的日益凸显。黑客可能利用系统的漏洞...
Linux文件加密系统设计.pdf
09-06
Linux 文件加密系统设计是指在 Linux 操作系统中对文件进行加密保护，以防止敏感数据泄露。该系统设计的目的是解决 Linux 上的文件加密问题，确保文件的安全性和完整性。该系统设计使用文件锁和消息 Hook 机制来加密...
基于等级保护思想实现Linux操作系统的安全防护研究.pdf
09-06
【等级保护思想与Linux操作系统安全】\n\n随着信息技术的快速发展，网络安全问题日益凸显，操作系统作为数据和应用的载体，其安全性至关重要。特别是在云计算和大数据的推动下，主机安全，尤其是Linux操作系统，已经...
Linux系统访问控制文件系统.pdf
09-06
Linux操作系统以其开源、稳定和安全性而著名，但即便如此，系统中依然可能存在提权漏洞，允许恶意攻击者获取root权限，进而对重要文件进行篡改或破坏。为解决这一问题，Linux系统开发中引入了可堆叠文件系统技术，以...
linux敏感目录文件,Windows系统和Linux系统常见敏感信息路径
weixin_42578963的博客
04-30 777
Windows系统c:\boot.ini // 查看系统版本c:\windows\system32\inetsrv\MetaBase.xml // IIS配置文件c:\windows\repair\sam ...
网络安全 --- 基于网络安全的 Linux 最敏感目录及文件利用指南
最新发布
盾悟
03-18 8523
Linux 系统中的敏感目录（如。Linux 系统中的敏感目录（如 /etc、/root、/var/log 等）和文件是网络安全攻防的焦点。攻击者可能利用这些资源进行密码破解、权限提升、后门植入等操作，而防御者则需通过权限控制、日志监控和定期审计来保护系统。掌握这些目录和文件的利用方式，不仅能提升渗透测试能力，也能增强系统防护水平。
linux下敏感文件,linux下hack们喜欢的敏感文件大收集
weixin_35564059的博客
04-29 270
Beats By Dr Dre Studio Pittsburgh Steelers HighDefinition UK：Beats By Dr.Dre Studio Colorful Champagne Limited Edition UK,Beats By Dr.Dre Studio Colorware Chrome Limited Edition UK,Beats By Dr.Dre Stu...
Linux权限敏感文件 | 误操作chmod -R 777 /*
m0_62856417的博客
04-23 1070
列出linux中常见的对权限比较敏感的文件
Linux常见的敏感目录
weixin_46622976的博客
02-13 2045
渗透过程中，我们可能会碰到一些任意文件读取，以下是Linux下的常见的敏感目录，可以使用burp进行爆破。
linux下hack们喜欢的敏感文件大收集
weixin_33800593的博客
12-18 1590
etc/httpd/conf/httpd.conf /etc/rc.local 有时可以读出来apache的路径 /usr/local/apache/conf/httpd.conf /var/www/html/apache/conf/httpd.conf /home/httpd/conf/httpd.conf /usr/local/apach...
Linux 敏感文件路径总结以及查找方法
vortex5的博客
11-17 1335
在渗透测试中，了解系统关键文件的路径及其作用是十分必要的。在后渗透阶段，掌握这些路径能够帮助安全测试人员更高效地收集信息并发现潜在的安全漏洞。以下是常见服务文件路径、系统敏感文件路径以及查找方法的总结。Linux 系统中存在一些重要的敏感文件，它们存储了用户信息、系统配置和历史记录等内容。通过了解和掌握这些敏感文件路径及查找方法，可以在渗透测试中更加高效地发现系统的薄弱点，为进一步的渗透打下基础。在后渗透测试阶段，查找机密文件是收集信息的重要步骤。这是一种有效的方法，用于查找潜在的机密内容。
敏感文件监控
m0_56375711的博客
01-05 528
在安全状态下对文件进行一次摘要保存起来，当文件状态更新或者一段时间之后再次对文件进行摘要，并对比两次的摘要是否相同，即可判断文件是否被篡改。但这里也有一个潜在的风险，入侵者可能会更改最开始安全状态下的摘要，解决办法可以是将安全状态的摘要存储在远程安全的服务器中。判断文件是否被篡改可以使用md5sum命令记录文件的数字指纹，md5是一种数字摘要算法，具有不可逆加密的特性，可以用来检测数据是否被篡改或者保存密码，可以针对任意文件类型进行摘要。上述摘要可以检测文件是否被篡改，但无法检测出是否有文件新增或删除。
delphi 监控文件变化_监控Linux中的文件和目录的变化工具之fswatch
weixin_40005795的博客
10-29 271
请关注本头条号，每天坚持更新原创干货技术文章。如需学习视频，请在微信搜索公众号“智传网优”直接开始自助视频学习1. 前言fswatch是一个跨平台的文件修改监视工具，当指定文件或目录的内容被更改时，它会收到告警通知。它在不同的操作系统上执行四种类型的监视，例如:一个建立在苹果OS X的File System Events API 。基于kqueue的监视器，FreeBSD 4.1中出现的通知接口也...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值