linux应急处置案例学习

转载来自：https://secvul.com/topics/1142.html

1 发现网络异常通信，使用lsof命令

此处，使用lsof -i -PnR命令

2 查看到可以进程到联网行为后，使用kill命令

此处我们结束4322进程举例：

3 如果重复不能结束掉，则进入进程内存中查找字符串看看都有什么

举例：
我们到进程号为7057的地方，使用命令：
cd proc/7057
cat * |strings -n 5 |more

4 如果发现有什么异常的行为则需要处理，一般为创建启动项，设置计划任务

（1）创建init.d脚本来启动恶意进程，写入到rc%d.d里面实现自启动

（2）/etc/cron.hourly/目录下生成gcc4.sh脚本
（3）sed -i修改crontab启动文件，将恶意脚本/etc/cron.hourly/gcc4.sh写入到crontab启动文件中

5 查看登陆信息

last

6 处置，删除文件，修改启动文件属性为只读

（1）chattr锁定corntab启动项，防止病毒文件再次写入
（2）使用chattr锁定/etc/cron.hourly/目录

chattr +i /etc/resolv.conf

转载于:https://blog.51cto.com/antivirusjo/2105443