本文檔介紹了Linux系統查殺木馬的最佳實踐。
背景信息
系統安全存在漏洞或未采取足夠的安全加固措施時,Linux系統可能會被植入木馬程序。及時清理木馬程序后,還需提高安全意識,從安全補丁加固、系統權限加固、操作審計、日志分析等多維度對系統安全進行全方位提升。
步驟一:使用云安全中心查殺木馬程序
步驟二:查找詳細的入侵痕跡
執行
last,lastlog
命令,查看最近登錄的賬戶和登錄時間,鎖定異常賬戶。執行
grep -i Accepted /var/log/secure
命令,查看遠程登錄成功的IP地址。執行以下命令,查找計劃任務。
cat /var/spool/cron/ cat /etc/cron.hourly cat /etc/crontab
執行
find / -ctime 1
通過文件狀態最后修改時間來查找木馬文件。檢查/etc/passwd和/etc/shadow文件,確認是否有可疑用戶。
檢查臨時目錄/tmp、/var/tmp、/dev/shm下的文件,這些目錄權限是1777,容易被上傳木馬文件。
查看端口對外的服務日志是否存在異常,例如:tomcat、nginx。
執行
service --status-all | grep running
,查看當前運行的服務中是否存在異常。執行
chkconfig --list | grep :on
,查看自啟動的服務中是否存在異常。執行
ls -lt /etc/init.d/ | head
,查看是否有異常啟動腳本。
步驟三:使用常用木馬查殺命令
命令 | 功能 |
命令 | 功能 |
ps,top | 查看運行的進程和進程系統資源占用情況,查找異常進程。 |
pstree | 以樹狀圖的形式顯示進程間的關系。 |
lsof | 查看進程打開的文件、文件或目錄被哪個進程占用、打開某個端口的進程、系統所有打開的端口等信息。 |
netstat | 查看系統監聽的所有端口、網絡連接情況,查找連接數過多的IP地址等信息。 |
iftop | 監控TCP連接實時網絡流量,可分別分析出入流量并進行排序,查找出流量異常的IP地址。 |
nethogs | 監控每個進程使用的網絡流量,并從高到低排序,方便查找出流量異常的進程。 |
strace | 追蹤一個進程執行的系統調用,分析木馬進程的運行情況。 |
strings | 輸出文件中可打印的字符串,可用來分析木馬程序。 |
- 本页导读 (1)
- 背景信息
- 步驟一:使用云安全中心查殺木馬程序
- 步驟二:查找詳細的入侵痕跡
- 步驟三:使用常用木馬查殺命令