11月7日晚,收到了腾讯云的告警信息
系统加固排查思路:
检查系统登录信息
last | more
检查ssh信息,
#查看进1000条日志
tail -f -n 1000 /var/log/auth.log
我查看了登录日志
发现了满屏的端口扫描信息,心理大概有个底了
我之前的ssh端口是默认的22,然后应该是被爆破了。
然后我就进行了如下操作进行系统加固
- ssh端口变更为非常用端口
vim /etc/ssh/sshd_config
#下面进行修改
Port 非常规端口号
AddressFamily any
ListenAddress 0.0.0.0
- 修改root密码
passwd root
- 删除ssh密钥 防止留下后门
ls -a ~/.ssh
#进行删除
- 根据创建时间检查系统异常用户
cat /etc/passwd
- 检查定时任务脚本与开机任务
ls -l --time-style '+%Y/%m/%d %H:%M:%S' /etc/systemd/system
cat /etc/rc.local
#用户登录时,bash先自动执行系统管理员建立的全局登录script :
cat /ect/profile
#然后bash在用户起始目录下按顺序查找三个特殊文件中的一个:
cat /.bash_profile、
cat /.bash_login、
cat /.profile