Linux系统入侵排查(一)

前言

为什么要做系统入侵排查

入侵排查思路

1.检查账号安全

基本使用：

cat和more指令说明

1、查看用户信息文件

2、影子文件

3.查看当前登录用户

2.账号安全入侵排查方法总结

1、查询特权用户特权用户(uid 为0)

2、查询可以远程登录的帐号信息

3、除root帐号外 o权限

4、禁用或删除多余及可疑的帐号

2.查看历史命令确定目标

基本使用：

1、root的历史命令

2、查看普通帐号的历史命令

1）保存1万条命令，默认只保存1000条

2）在 /etc/profile 的文件尾部添加如下行数配置信息：

3） source /etc/profile 让配置生效

3、历史操作命令的清除： history -c

总结

---

前言

        对我处在学生时期的我来说,目前web渗透还是为主,但是还是需要对于蓝队相关的应急响应,等保测评等还是需要有一定的了解的,攻防兼备才能越站越勇嘛,linux入侵排查也能够让我更加熟悉liunx命令.

为什么要做系统入侵排查

        当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些Linux服务器入侵排查的思路。

入侵排查思路

作为渗透小子一名,当然是通过kali来进行练习和总结了

1.检查账号安全

基本使用：

cat和more指令说明

cat
​
cat命令是整个文件的内容从上到下显示在屏幕上。还可以将多个文件连接起来显示，它常与重定向符号配合使用，适用于文件内容少的情况.
​
more
​
  more命令会以一页一页的显示方便使用者逐页阅读，而最基本的指令就是按空白键（space）就往下一页显示，按 b 键就会往回（back）一页显示，而且还有搜寻字串的功能 。more命令从前向后读取文件，因此在启动时就加载整个文件。

1、查看用户信息文件

cat /etc/passwd(信息少)

more /etc/passwd(信息多)

root:x:0:0:root:/root:/usr/bin/zsh
​用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后shell
account:password:UID:GID:GECOS:directory:shell

需要注意的是：无密码只允许本机登陆，远程不允许登陆

        方法：将后面有nologin的排除，因为有nologin的表示不能远程登录的，对剩下的账号进行排查看是否存在可疑账号或不应该存在的账号

2、影子文件

cat /etc/shadow

这是个存密码的文件,存储着上面查出的用户对应的密码

用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期的警告天 数：密码过期之后的宽限天数：账号失效时间：保留

kali:$y$j9T$k2TlXoYE./3ZfpPlC1rnz/$0GYCwPePph6GEy24/N8s7vVxlzwndL/DltBOhVQ1pLC:19799:0:99999:7:::

没有密码的用户就看不到这么一大串字符了： $y$j9T$k2TlXoYE./3ZfpPlC1rnz/$0GYCwPePph6GEy24/N8s7vVxlzwndL/DltBOhVQ1pLC:19799:0:99999:7:::
两次密码的修改时间间隔：0表示没有修改过 密码有效期：99999表示永不过期 密码修改到期的警告天数：7表示7天内都会提醒你 注：linux的密码是双层加密的(加密和加盐)，不容易破解

3.查看当前登录用户

who

（tty本地登陆 ,pts远程登录，比如用xshell这种工具连接登录上去的），一般本地登录的都是没什么问题的，排查远程登录的这些账号。排查是否是通过暴力破解登录上来的、还是自己人登录的.

w 查看系统信息，想知道某一时刻用户的行为

参考博客：CentOS下用于查看系统当前登录用户信息的4种方法_centos 查看用户信息-CSDN博客

uptime 查看登陆多久、多少用户，负载

参考博客：CentOS下Uptime命令详解 - 服务器之家

2.账号安全入侵排查方法总结

解释：有人入侵进来之后，肯定会把自己的级别提到管理员,方便进行更多的操作，通过指令可以查看有哪些用户为管理员，也就是特权用户.

1、查询特权用户特权用户(uid 为0)

root㉿kali)-[/home/kali]
└─# awk -F: '$3==0{print $1}' /etc/passwd

2、查询可以远程登录的帐号信息

        这里因为我没有进行远程登录页就不存在远程登录的信息,如果存在的话,就会出现上面查出的登录用户的加密的账号密码 ,例如出现如下所示  账号:密码  这种格式        

kali:$y$j9T$k2TlXoYE./3ZfpPlC1rnz/$0GYCwPePph6GEy24/N8s7vVxlzwndL/DltBOhVQ1pLC:19799:0:99999:7:::

(root㉿kali)-[/home/kali]
└─# awk '/\$1|\$6/{print $1}' /etc/shadow

3、除root帐号外 o权限

more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"  # 其他的主机

 ─(root㉿kali)-[/home/kali]
└─# more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL:ALL) ALL"

命令的主要目的是检查sudoers文件中是否允许所有用户（ALL）在所有主机（ALL）上执行sudo命令。 

4、禁用或删除多余及可疑的帐号

这里我先创建一个用户做一个案例:

sudo useradd -M hello   创建一个用户名为hello的用户

┌──(root㉿kali)-[/home/kali]
└─# sudo useradd -M hello

usermod -L user   
禁用帐号，帐号无法登录，/etc/shadow第二栏为!开头   user表示你查到的用
户名

剩下的这两个语句,用来删除确定是威胁的用户
userdel user       删除user用户
userdel -r user   将删除user用户，并且将/home目录下的user目录一并删除，有些人入侵完成删除
自己用户的时候，可能忘记了加-r，那么在/home目录下是有它用户名的文件夹的，也就是存有相关信息。

2.查看历史命令确定目标

基本使用：

通过 .bash_history 查看帐号执行过的系统命令

1、root的历史命令

首先切换到用户(例如root)的用户目录,然后输入下面的命令

history N 显示最近的N条命令，例如history 5
history -d N 删除第N条命令，这个N就是前面的编号，例如history -d 990
history -c 清空命令历史 （包括缓存和文件）
history -a 将当前会话中的命令历史写入指定文件
history -w：把缓存中的历史命令写入历史命令保存文件~/.bash_history（显然每个用户有自己的文件）

2、查看普通帐号的历史命令

打开/home各帐号目录下的 .bash_history ，

为历史的命令增加登录的IP地址、执行命令时间等信息：

1）保存1万条命令，默认只保存1000条

sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile

2）在 /etc/profile 的文件尾部添加如下行数配置信息：

######***************#########
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
shopt -s histappend
export PROMPT_COMMAND="history -a"
######### ************** ##########

 vim /etc/profile

然后按I键,进行输入,将上面的写入文件中,最后按:wq,进行写入 

3） source /etc/profile 让配置生效

再执行history指令，生成效果：
第一条记录 什么时候执行的   哪个ip地址过来执行的 用的哪个用户 执行的什么指令
1  2024-05-9 12:45:39 192.168.xxx.1 root source /etc/profile

3、历史操作命令的清除： history -c

        但此命令并不会清除保存在文件中的记录，因此需要手动删除 .bash_profile 文件中的记录。入侵者如果能力比较强的，也会把这个文件删除。

总结

        对系统进行入侵排查也是比较费时间和精力的一次行动,本篇目前只记录这么多,后续会继续记录和总结.