应急响应笔记(Linux）

A、日志分析

1、除root之外，是否还有其它特权用户(uid 为0)awk -F: '$3==0{print $1}' /etc/passwd

2、可以远程登录的帐号信息

awk '/\$1|\$6/{print $1}' /etc/shadow

3、查看登录失败信息

grep -o "Failed password" /var/log/secure|uniq -c

4、输出登录爆破的第一行和最后一行，确认爆破时间范围

grep "Failed password" /var/log/secure|head -1
grep "Failed password" /var/log/secure|tail -1

5、显示登陆失败的用户

6、爆破用户名字典都有哪些？

grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

uniq -c 显示出现的次数

sort -nr 整体排序

7、登录成功的日期、用户名、IP

grep "Accepted" /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

8、统计一下登录成功的IP有哪些

grep "Accepted" /var/log/secure | awk '{print $11}' | sort | uniq -c |sort -nr | more

9、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限

more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"

10、禁用或删除多余及可疑的帐号usemod

usermod -L user 禁用帐号，帐号无法登录，/etc/shadow第二栏为!开头

userdel user 删除user用户

userdel -r user 将删除user用户，并且将/home目录下的user目录一并删除

/etc/passwd 下修改/bin/bash为/bin/nologin禁止账号登录       

11、增加，删除用户日志

grep "useradd" /var/log/secure

grep "userdel" /var/log/secure

12、sudo授权执行

查看谁有sudo授权执行权限(权限级别) sudo -l

B、历史命令查询

1、通过.bash_history查看帐号执行过的系统命令

2、打开/home各帐号目录下的.bash_history，查看普通帐号的历史命令

 

为历史的命令增加登录的IP地址、执行命令时间等信息：

1）保存1万条命令 sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile

2）在/etc/profile的文件尾部添加如下行数配置信息： ######jiagu history xianshi######### USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'` if [ "$USER_IP" = "" ] then USER_IP=`hostname` fi export HISTTIMEFORMAT="%F %T $USER_IP `whoami` " shopt -s histappend export PROMPT_COMMAND="history -a" ######### jiagu history xianshi ##########

3）source /etc/profile让配置生效 生成效果： 1 2019-10-21 15:45:39 192.168.204.1 root source /etc/profile

3、历史操作命令清除

history -c 但此命令并不会清除保存在文件中的记录，因此需要手动删除.bash_profile文件中的记录。

4、入侵排查：

进入用户目录下

cat .bash_history >> history.txt

C、检查异常端口

1、使用netstat 网络连接命令，分析可疑端口、IP、PID

netstat -antlp|more

!net

lsof -i:80 查看指定端口

netstat -anp|grep 158.x.x.x 从连接的IP来定位PID，如果是瞬时建立的才找不到

2、查看下pid所对应的进程文件路径

运行 ls -l /proc/$PID/exe

file /proc/$PID/exe（$PID 为对应的pid 号）

D、检查异常进程

使用ps命令，分析进程 ps aux | grep pid (pid表示要查询的关键字)

F、定时任务

1、查看定时任务

crontab -l 表面上查看定时任务

cat /etc/crontab 查看定时任务的文件里面是否存在定时任务

ls -al /var/spool/cron/\*

cat /var/spool/cron/\* 查看文件夹里面是否有其他定时任务的文件

ls -al /etc/cron.d/\*

for u in \`cat /etc/passwd |cut -d ":" -f1\`;do crontab -l -u $u; done

2、删除定时任务

crontab -r 表面上删除定时任务

3、编辑定时任务

crontab -e

定时任务解读：

前面5个星分别代表分-时-天-月-星期 后面跟命令

\* \* \* \* \* command

\*/15 \* \* \* \* command（表示每15分钟运行一次）

查看CPU运行

top

结束进程

kill PID

kill -9 PID 彻底杀死进程

kill -KILL PID 强制杀死进程

查看进程

ps -a 列出的是当前控制终端启动的进程 ps -A 系统全部启动进程 ps auxf 查看父进程关联的子进程 pstree 查看进程树