应急响应-linux-系统排查

岁月冲淡々

已于 2024-01-19 13:40:09 修改

阅读量362

点赞数 8

分类专栏：应急响应文章标签： linux 服务器运维网络安全

于 2024-01-19 13:38:44 首次发布

本文链接：https://blog.csdn.net/qq_50765147/article/details/135695752

版权

31 篇文章 1 订阅

订阅专栏

查看系统所以用户信息可以在命令行中输入【cat /etc/passwd】命令，后续个项由冒号隔开，分别表示“用户名” “密码加密” “用户ID” “注释” “用户主目录” “默认登录 shell” 如图所示。查询的用户信息中，最后显示 “bin/bash” 的，表示账号状态为可登录；最后显示“sbin/nologin”的，表示账号状态为不可登录。

在命令行中输入【awk -F: '{if($3==0) print $1}' /etc/passwd】命令，可查询可登录账号UID为0的账号，如图所示。root是UID为0的可登录账号，如果出现其他为0的账户，就要进行重点排查。

在命令行输入【last】命令，可查看用户最近登录信息（数据源为/var/log/wtmp、/var/log/btmp、/var/log/utmp）,如图所示。其中，wtmp存储登录成功的信息、btmp存储登录失败的信息、utmp存储当前正在登录的信息。

在命令行中输入【awk -F: 'length($2)==0 {print $1}' /etc/shadow】命令，查看是否存在空口令的账户，如图所示，无空口令账户。

- 使用【cat /etc/init.d/rc.local】命令，可查看init.d文件夹下的rc.load文件内容。（开机自启程序）
- 使用【cat /etc/rc.local】命令，可查看rc.local文件内容。
- 使用【ls -alt /etc/init.d】命令，可查看init.d文件夹下所有文件的详细信息，如图所示，框内文件是某挖矿病毒的启动项。

在命令行中输入【crontab -l】命令，可查看当前的任务计划，也可以指定用户进行查看，如输入命令【crontab -u root -l】，可查看root用户的任务计划，以确认是否存在后门木马程序启动相关信息。如图所示，使用命令【crontab -l 】后，查询到一个挖矿恶意程序的任务计划设置，其每隔12分钟远程下载恶意网站上的ctrontab.sh脚本文件。

一般在Linux系统中的任务计划文件是以cron开头的，可以利用正则表达式的*赛选出etc目录下的所有以cron开头的文件，具体表达式为/etc/cron*。如，查看etc目录下的所有任务计划就可以输入【ls /etc/cron*】命令，如图所示。
通常，还要如下包含任务计划的文件夹，其中，*代表文件夹下的所有文件：