排查思路
手工排查
历史命令
history查看
在root用户下历史命令未发现异常，尝试一下登陆其他用户看看
后门账号
查看/etc/passwd判断是否存在除root以外的uid=0的账号
awk -F: '$3==0' /etc/passwd
不存在其他uid=0的账号
查看/etc/shadow判断是否可以远程登录
awk '/\$1|\$6/' /etc/shadow
定时任务
未发现定时任务
异常的网络连接
未发现异常
本文详细介绍了Linux系统的应急排查过程，包括手工排查和使用脚本检测。手工排查涉及历史命令、后门账号、定时任务、异常网络连接、异常进程、异常文件、异常启动项及系统日志等。在排查中发现www用户的登录状态可疑，进一步检查揭示了恶意脚本文件和可疑进程。同时，使用D-Eyes工具进行快速排查，发现了多个可疑文件和进程。
最低0.47元/天 解锁文章
386
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
