Linux系统分析排查

文件分析一敏感文件信息1

        在Linux系统下一切都是文件。其中/tmp是一个特别的临时目录文件。每个用户都可以对它进行读写操作。因此一个普通用户可以对/tmp目录执行读写操作。

文件分析一敏感文件信息2

查看开机启动项内容/etc/init.d/，恶意代码很有可能设置在开机自启动的位置。

查看指定目录下文件时间顺序的排序:ls -alt | head -n 10

查看文件时间属性:stat文件名

 文件分析一敏感文件信息3

新增文件分析:

查找24小时内被修改的文件：

find ./ -mtime 0 -name“*.txt”

查找72小时内新增的文件：

find ./ -ctime -2 -name"“*.txt"

权限查找:在Linux系统中，如果具有777权限，那么文件很可疑。

find ./ -iname “*.txt*” -perm 777 其中-iname忽略大小写,-perm用于设定筛选文件权限

进程分析一网络连接分析

在Linux中可以使用netstat进行网络连接查看。

netstat - Print network connections, routing tables, interface statistics,masquerade connections, andmulticast memberships

具体帮助信息查看 man netstat

常用命令netstat -pantl查看处于tcp网络套接字相关信息。

关闭未知连接 kill -9 pid 即可关闭。

分析-进程所对文件

在Linux中可以使用ps查看进程相关信息。使用ps aux查看所有进程信息

使用ps aux | grep PID 筛选出具体PID的进程信息，lsof -i:端口号也可以实现类似功能

 登录分析

        在Linux做的操作都会被记录到系统日志中，对于登录也可以查看日志信息查看是否有异常登录。

        last命令 last -i l grep -v 0.0.0.0查看登录日志，筛选非本地登录。

        w命令实时登录查看

异常用户分析排查

在Linux中 root 用户是一个无敌的存在，可以在Linux上做任何事情。

新建用户 useradd username

设置密码 passwd username 输出密码

设置用户uid和gid都为0. (root用户uid为0 gid为0)修改文件即可

• cat /etc/passwd

•  grep "0:0" /etc/passwd

•  ls -l /etc/passwd

• awk -F: '$3==0 {print $1}' /etc/passwd

• awk -F: '$2=="!" {print $1}' /etc/shadow或 awk -F: length($2)==0  {print $1}'  /etc/shadow

历史命令分析history

在Linux系统中默认会记录之前执行的命令/root/.bash_history文件中。

用户可以使用cat /root/ .bash_history进行查看或着使用history命令进行查看

特别注意:wget(可能远程下载木马)、ssh(连接内网主机)、tar zip类命令(数据打包)、系统配置等（命令修改)

计划任务排查crontab

在Linux系统中可以使用命令crontab进行计划任务的设定

        其中-e 可以用来编辑设定计划任务，-l可以用来查看当前计划任务，-r用来删除计划任务。特别注意计划任务中未知内容

 

 

开机自启动项

在Linux(Debian)系统中  /etc/ init.d/目录下保存着开机自启动程序的目录。

用户可以直接使用/etc/init.d/程序名称status查看状态。

使用update-rc.d程序名称disable取消开机自启动。 使用enable实现开机自启动。

$PATH变量异常

        决定了shell将到哪些目录中寻找命令或程序，PATH的值是一系列目录，当您运行一个程序时，Linux正这些目录下进行搜寻编译链接。【如使用命令ls、cd时，这也是通过path变量来设置的】

        修改PATH export PATH=$PATH:/usr/locar/new/bin 本次终端中有效，重启后无效。在/etc/profile或/home/.bashrc (source ~/.bashrc）才能永久生效。

后门排意 rkhunter

Rkhunter具有以下功能:

        1、系统命令检测,MD5校验

        2、Rookit检测

        3、本机敏感目录、系统配置异常检测

安装:apt install rkhunter

基本使用:rkhunter --check --sk

-c, --check                              Check the local system

--sk,--skip-keypress                Don't wait for a keypress after each test