应急响应基础笔记（二）——应急响应之Linux入侵排查

最新推荐文章于 2024-09-24 00:19:20 发布

haha13l4

最新推荐文章于 2024-09-24 00:19:20 发布

阅读量661

点赞数

分类专栏：应急响应

本文链接：https://blog.csdn.net/haha13l4/article/details/103067082

版权

本文主要介绍了Linux系统的应急响应和入侵排查方法，包括账号安全检查、历史命令审查、异常端口和进程的监测、定时任务分析、自启动服务的核查以及异常文件和系统日志的审查，旨在提升系统安全防护能力。

摘要由CSDN通过智能技术生成

（1）账号安全

1、用户信息文件：/etc/passwd


 
 
 
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root:
     
     
     x:
     
     
     0
     
     
     :
     
     
     0
     
     
     :root
     
     
     :/root
     
     
     :/bin/bash
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后shell
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     注意：无密码只允许本机登陆，远程不允许登陆

2、影子文件：/etc/shadow


 
 
 
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root:$6$dIEKcGV4PJpr6kGu$jSpNY9SGXkkE3XakM4neFh24UT6G3mB0OCWV3ciTgmtntVEKFZ3Zc5BU69cLXqSBllz/JxA2YRC77xCG9A5YP/:
     
     
     17966:
     
     
     0:
     
     
     99999:
     
     
     7:::
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留

3、who：查看当前登录用户（tty本地登录，pts远程登录）

w：查看系统信息，某一时刻用户的行为；

uptime：查看登录多久，多少用户，负载；


 
 
 
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     [root@redhat 桌面]# who
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     tty1         
     
     
     2019
     
     
     -04
     
     
     -15 
     
     
     01:
     
     
     38 (:
     
     
     0)
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     pts/
     
     
     0        
     
     
     2019
     
     
     -05
     
     
     -20 
     
     
     13:
     
     
     05 (:
     
     
     0.0)
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     pts/
     
     
     3        
     
     
     2019
     
     
     -05
     
     
     -20 
     
     
     14:
     
     
     16 (:
     
     
     0.0)
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     pts/
     
     
     10       
     
     
     2019
     
     
     -07
     
     
     -30 
     
     
     14:
     
     
     18 (:
     
     
     0.0)
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     [root@redhat 桌面]# w
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
     
     
     
     14:
     
     
     22:
     
     
     54 up  
     
     
     6:
     
     
     43,  
     
     
     4 users,  load average: 
     
     
     0.00, 
     
     
     0.01, 
     
     
     0.00
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     tty1     :
     
     
     0               
     
     
     15Apr19 
     
     
     106days  
     
     
     1:
     
     
     06   
     
     
     1:
     
     
     06  /usr/bin/Xorg :
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     pts/
     
     
     0    :
     
     
     0.0             
     
     
     20May19 
     
     
     71days  
     
     
     0.14s  
     
     
     0.08s bash
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     pts/
     
     
     3    :
     
     
     0.0             
     
     
     20May19 
     
     
     71days  
     
     
     0.39s  
     
     
     0.39s /bin/bash
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root     pts/
     
     
     10   :
     
     
     0.0             
     
     
     14:
     
     
     18    
     
     
     0.00s  
     
     
     0.42s  
     
     
     0.20s w
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     [root@redhat 桌面]# uptime
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
     
     
     
     14:
     
     
     22:
     
     
     59 up  
     
     
     6:
     
     
     43,  
     
     
     4 users,  load average: 
     
     
     0.00, 
     
     
     0.01, 
     
     
     0.00

4、入侵排查


 
 
 
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     1、查询特权用户特权用户(uid 为
     
     
     0)
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     [root@redhat 桌面]
     
     
     # awk -F: '$3==0{print $1}' /etc/passwd
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     root
    
    
    
   
   
   
  
   
   
   
    
    
    
   
   
   
   
   
   
    
    
    
     
     
     yaoyao