Linux应急响应#

1 入侵排查思路#

1.1 账号安全#

1
1、查询特权用户特权用户(uid 为0)
2
awk -F ':' '$3==0{print $1}' /etc/passwd
3

4
2、查询可以远程登录的帐号信息
5
awk -F ':' '/\$1|\$6/{print $1}' /etc/shadow
6

7
3、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号
8
应删除sudo权限
9
more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"
10

11
4、禁用或删除多余及可疑的帐号
12
usermod -L user 禁用帐号，帐号无法登录，/etc/shadow第二栏为!开头
13
 passwd -l 用户名   //禁用账户
14
userdel user 删除user用户
15
userdel -r user 将删除user用户，并且将/home目录下的user目录一并删除

1.2 历史命令#

1
通过.bash_history查看帐号执行过的系统命令
2
1、root的历史命令
3
histroy
4

5
2、打开/home各帐号目录下的.bash_history，查看普通帐号的历史命令
6
为历史的命令增加登录的IP地址、执行命令时间等信息：
7
1）保存1万条命令
8
sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile
9

10
2）在/etc/profile的文件尾部添加如下行数配置信息：
11
######jiagu history xianshi#########
12
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
13
if [ "$USER_IP" = "" ]
14
then
15
USER_IP=`hostname`
16
fi
17
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
18
shopt -s histappend
19
export PROMPT_COMMAND="history -a"
20
######### jiagu history xianshi ##########
21

22
3）source /etc/profile让配置生效
23
生成效果： 1 2018-07-10 19:45:39 192.168.204.1 root source /etc/profile
24

25
3、历史操作命令的清除：history -c
26
但此命令并不会清除保存在文件中的记录，因此需要手动删除.bash_profile
27
文件中的记录。
28

29
入侵排查：
30
进入用户目录下
31
cat .bash_history >> history.txt

1.3 检查异常端口#

1
检查异常端口
2
使用netstat 网络连接命令，分析可疑端口、IP、PID
3
netstat -antlp | more
4

5
查看下pid所对应的进程文件路径，
6
运行ls -l /proc/$PID/exe或file /proc/$PID/exe（$PID 为对应的pid 号）

1.4 检查异常进程#

1
检查异常进程
2
使用ps命令，分析进程
3
ps aux | grep pid
4

5
top

1.5 检查开机启动项#

1
自启动
2
systemctl disable 服务

1
#! /bin/bash
2
#chkconfig:2345 10 90
3
echo 123 > /home/zyl/Desktop/ZR.txt
4

5

6
2345  ---- 默认启动级别（0-6 七个级别）
7
查看运行级别命令 runlevel
8
运行级别 含义
9
0     关机
10
1     单用户模式，可以想象为windows的安全模式，主要用于系统修复
11
2     不完全的命令行模式，不含NFS服务
12
3     完全的命令行模式，就是标准字符界面
13
4     系统保留
14
5     图形模式
15
6     重启动
16

17
优先级：0-100  数字越大，优先级越低
18
10 --- 启动优先级
19
90 --- 停止优先级

1
mv ziqi.sh /etc/init.d/  //可执行脚本放置处  /etc/init.d/  //自启动文件目录
2
cd /etc/rc.d/rc5.d/
3
ln -s /etc/init.d/ziqi.sh /etc/rc.d/rc5.d/S100ruan
4
 S开头代表加载时自启动；如果是K开头代表运行级别时需要关闭的

	硬链接	软链接
	复制粘贴	快捷方式
创建方式	ln 原文件目标链接文件	ln -s 原文件目标链接文件
原文件权限更改	权限随之更改	权限不会更改
原文件删除	不受影响	随之损坏
新建一个与被删除文件的同名文件	执行旧内容	执行新内容
inode值	inode值相同	inode值不相同
文件大小	与原文件相同	与原文件不相同

1
chkconfig --add /etc/init.d/ziqi.sh  //添加到脚本自启动列表
2
chkconfig --list  //查看自启服务列表
3
chkconfig ziqi.sh on  //启用脚本

1
chkconfig  //查看自启动相关脚本服务
2
入侵排查：
3
启动项文件： more /etc/rc.local /etc/rc.d/rc[0~6].d
4
ls -l /etc/rc.d/rc3.d/

1.6 检查定时任务#

1
入侵排查：
2
重点关注以下目录中是否存在恶意脚本
3
/var/spool/cron/*
4
/etc/crontab
5
/etc/cron.d/*
6
/etc/cron.daily/*
7
/etc/cron.hourly/*
8
/etc/cron.monthly/*
9
/etc/cron.weekly/*
10
/etc/anacrontab
11
/var/spool/anacron/*
12

13
小技巧：
14
more /etc/cron.daily/* 查看目录下所有文件

1.7 检查服务#

1
查询已安装的服务
2
1、RPM包安装的服务
3
chkconfig --list 查看服务自启动状态，可以看到所有的RPM包安装的服务
4
ps aux | grep crond 查看当前服务
5
系统在3与5级别下的启动项
6
chkconfig --list | grep "3:on\|5:on"
7

8
2、源码包安装的服务
9
查看服务安装位置 ，一般是在/usr/local/
10
systemctl status httpd
11
搜索/etc/rc.d/init.d/ 查看是否存在

1.8 检查异常文件#

1
1、查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以“.”为名的文件夹具有隐藏属性
2

3
2、得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？
4
可以使用find命令来查找，如 find /opt -iname "*" -atime 1 -type f 找出 /opt 下一天前访问过的文件
5

6
3、针对可疑文件可以使用stat进行创建修改时间。
7
access：访问时间
8
modify：修改文件时间
9
change：改变状态的时间

1.9 检查系统日志#

1
日志存放位置：/var/log/
2
查看日志配置情况：more /etc/rsyslog.conf

1
日志分析技巧：
2
1、定位有多少IP在爆破主机的root帐号：
3
grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more
4
2、定位有哪些IP在爆破：
5
grep "Failed password" /var/log/secure | grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)" | uniq -c
6
3、爆破用户名字典是什么？
7
grep “Failed password” /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print “$1\n”;}' | uniq -c | sort -nr
8
4、登录成功的IP有哪些：
9
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more
10
5、登录成功的日期、用户名、IP：
11
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'
12
6、增加用户日志：
13
grep "useradd" /var/log/secure
14
7、删除用户kali日志：
15
grep "userdel" /var/log/secure
16
8、su切换用户
17
more /var/log/secure | grep 'su:'

1.10 Rootkit查杀#

1
1、chkrootkit
2
网址：http://www.chkrootkit.org
3
使用方法：
4
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
5
tar -zxf chkrootkit.tar.gz
6
cd chkrootkit-0.55
7
./chkrootkit
8

9
2、rkhunter
10
网址：http://rkhunter.sourceforge.net/
11
使用方法：
12
wget https://sourceforge.net/projects/rkhunter/files/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz
13
tar -zxf rkhunter-1.4.6.tar.gz
14
cd rkhunter-1.4.6/
15
./installer.sh --install
16
rkhunter -c

1.11 病毒查杀#

1
Clamav
2
ClamAV的官方下载地址为：http://www.clamav.net/download.html
3
使用方法：
4
yum -y install epel-release
5
yum install –y clamav clamav-update
6
freshclam
7
clamscan -r /home

1.12 webshell查杀#

1
河马webshell查杀
2
网址：https://www.shellpub.com/
3
使用方法：
4
https://www.shellpub.com/doc/hm_linux_usage.html
5
深信服Webshell网站后门检测工具
6
网址：https://edr.sangfor.com.cn/#/index/home