Linux系统是否被植入木马的排查流程梳理

Linux系统是否被植入木马的排查流程梳理 为保障系统安全需要定期对系统进行安全检查，此文档旨在检查系统里是否存在未知进程及木马和病毒。

一、是否入侵检查

1）检查系统日志 检查系统错误登陆日志，统计IP重试次数（last命令是查看系统登陆日志， 比如系统被reboot或登陆情况）

2）检查系统用户 查看是否有异常的系统用户 cat /etc/passwd 查看是否产生了新用户，UID和GID为0的用户 grep "0" /etc/passwd

查看passwd的修改时间，判断是否在不知的情况下添加用户 ls -l /etc/passwd

查看是否存在特权用户 awk -F: '$3==0 {print $1}' /etc/passwd

查看是否存在空口令帐户 awk -F: 'length($2)==0 {print $1}' /etc/shadow 3）检查异常进程 注意UID为0的进程 使用ps -ef命令查看进程

察看该进程所打开的端口和文件 lsof -p pid命令查看

检查隐藏进程 ps -ef | awk '{print }' | sort -n | uniq >1 ls /porc |sort -n|uniq >2 diff 1 2 检查系统守护进程 cat /etc/xinetd.conf | grep -v "^#" #这个进程在centos7以上没有了

4）检查异常系统文件 find / -uid 0 –perm -4000 –print find / -size +10000k –print find / -name "…" –print find / -name ".." –print find / -name "." –print find / -name " " –print

检查系统中的 core 文件 find / -name core -exec ls -l {} \;

5）检查系统文件完整性 rpm –qf /bin/ls rpm -qf /bin/login md5sum –b 文件名 md5sum –t 文件名

6）检查RPM的完整性 [root@bastion-IDC ~]# rpm -Va #注意相关的/sbin,/bin,/usr/sbin,/usr/bin 输出格式说明： S – File size differs M – Mode differs (permissions) 5 – MD5 sum differs D – Device number mismatch L – readLink path mismatch U – user ownership differs G – group ownership differs T – modification time differs

7）检查网络 ip link | grep PROMISC（正常网卡不该在promisc模式，可能存在sniffer） lsof –i netstat –nap（察看不正常打开的TCP/UDP端口) arp –a

8）检查系统计划任务 crontab –u root –l cat /etc/crontab ls /etc/cron.*

9）检查系统后门 cat /etc/crontab ls /var/spool/cron/ cat /etc/rc.d/rc.local ls /etc/rc.d ls /etc/rc3.d

10）检查系统服务 chkconfig —list rpcinfo -p（查看RPC服务） 11）安装chrootkit,检查是否有rootkit rootkit是入侵者经常使用的工具,这类工具可以隐秘、令用户不易察觉的建立了一条能够总能够入侵系统或者说对系统进行实时控制的途径。

yum install -y glibc-static mkdir chrootkit cd chrootkit/ wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz tar zxvf chkrootkit.tar.gz cd chkrootkit-0.52/ make sense #编译 ./chkrootkit #检测命令，若出现INFECTED那就要小心了(./chkrootkit | grep INFECTED)

检测脚本,放到定时任务里面即可 #!/bin/bash #sript name：chkrootkit.sh

TOOLKITSPATH=/usr/local MAILUSER=root@localhost file_chkrootkit_log=chkrootkitcron.log servername=`hostname` date=`date +%Y-%m-%d`

cd ${TOOLKITSPATH}/chkrootkit ./chkrootkit > ${file_chkrootkit_log} [ ! -z "$(grep INFECTED ${file_chkrootkit_log})" ] && \ grep INFECTED ${file_chkrootkit_log} | mail -s "[chkrootkit] report in ${servername} ${date}" ${MAILUSER}

rkhunter -c chkrootkit -q 备注：登录的时候提示信息在 /etc/motd 文件里面

12）查看临时目录是否存在攻击者入侵时留下的残余文件 #tail -n 100 ~/.bash_history | more #是否存在.c .py .sh为后缀的文件或者2进制elf文件 ls -la /tmp ls -la /var/tmp find / -name \*.elf | xargs ls -l 13)在web目录下运行 #查看是否有木马 grep -r "getRuntime" ./

#运行的时候被连接或者被任何程序调用 find . -type f -name "*.jsp" | xargs grep -i "getRuntime"

#返回ip地址字符串 find . -type f -name "*.jsp" | xargs grep -i "getHostAddress"

#创建WshShell对象可以运行程序、操作注册表、创建快捷方式、访问系统文件夹、管理环境变量 find . -type f -name "*.jsp" | xargs grep -i "wscript.shell"

#gethostbyname()返回对应于给定主机名的包含主机名字和地址信息的hostent结构指针 find . -type f -name "*.jsp" | xargs grep -i "gethostbyname"

#调用系统命令提权 find . -type f -name "*.jsp" | xargs grep -i "bash"

#Jsp木马默认名字 find . -type f -name "*.jsp" | xargs grep -i "jspspy"

#检查是否有非授权访问管理日志 find . -type f -name "*.jsp" | xargs grep -i "getParameter"

#要进中间件所在日志目录运行命令 fgrep –R "admin_index.jsp" 20170702.log > log.txt #递归地读取每个目录下的所有文件

#查看是否出现对应的记录 fgrep –R "and1=1" *.log > log.txt fgrep –R "select " *.log > log.txt fgrep –R "union " *.log > log.txt fgrep –R "../../" *.log > log.txt fgrep –R "Runtime" *.log > log.txt fgrep –R "passwd" *.log > log.txt

#查看是否有shell攻击 fgrep –R "uname -a" *.log > log.txt fgrep –R "id" *.log > log.txt fgrep –R "ifconifg" *.log> log.txt fgrep –R "ls -l" *.log > log.txt

14) bash shell 漏洞 (1)、测试代码，有问题的 [root@localhost ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test" vulnerable this is a test

(2)、修复(下面是参考网上的东西，不知道效果怎么样 [root@localhost ~]# yum -y install yum-downloadonly [root@localhost ~]# yum -y install bash-4.1.2-33.el6_7.1.x86_64.rpm

(3)、重新测试 [root@localhost ~]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test" this is a test

#备注 当我们输入 env x='() { :;}; echo vulnerable'; bash -c "echo this is a test" 又可以出来不一样的效果

二、linux系统被入侵/中毒的表象

比较常见的中毒表现在以下三个方面： 1）服务器出去的带宽会跑高这个是中毒的一个特征。 因为服务器中毒之后被别人拿去利用，常见的就是拿去当肉鸡攻击别人；再者就是拿你的数据之类的。 所以服务器带宽方面需要特别注意下，如果服务器出去的带宽跑很高，那肯定有些异常，需要及时检查一下！

2）系统里会产生多余的不明的用户