江苏龙网

  1. 主页 > 生活百科 > >

Linux 应急响应入门：入侵排查应该这样做( 二 )

入侵排查


 # $PID 为对应的 pid 号ls -l /proc/$PID/exe 或 file /proc/$PID/exe

Linux 应急响应入门：入侵排查应该这样做

文章插图
分析进程：
 # 根据pid号查看进程lsof -p 6071# 通过服务名查看该进程打开的文件lsof -c sshd# 通过端口号查看进程：lsof -i :22查看进程的启动时间点：
根据 pid 强行停止进程：
 kill -9 6071【Linux 应急响应入门：入侵排查应该这样做】注意：如果找不到任何可疑文件，文件可能被删除，这个可疑的进程已经保存到内存中，是个内存进程 。这时需要查找PID 然后kill掉
检查开机启动项：
系统运行级别示意图：
查看运行级别命令：
 runlevel开机启动配置文件:
 /etc/rc.local/etc/rc.d/rc[0~6].d启动linux系统时，会运行一些脚本来配置环境——rc脚本 。在内核初始化并加载了所有模块之后，内核将启动一个守护进程叫做init或init.d 。这个守护进程开始运行/etc/init.d/rc中的一些脚本 。这些脚本包括一些命令，用于启动运行Linux系统所需的服务
开机执行脚本的两种方法：
  • 在 /etc/rc.local 的 exit 0 语句之间添加启动脚本 。脚本必须具有可执行权限
  • 用 update-rc.d 命令添加开机执行脚本
1、编辑修改 /etc/rc.local
Linux 应急响应入门：入侵排查应该这样做

文章插图
2、update-rc.d：此命令用于安装或移除System-V风格的初始化脚本连接 。脚本是存放在 /etc/init.d/目录下的，当然可以在此目录创建连接文件连接到存放在其他地方的脚本文件 。
此命令可以指定脚本的执行序号，序号的取值范围是 0-99，序号越大，越迟执行 。
当我们需要开机启动自己的脚本时，只需要将可执行脚本丢在/etc/init.d目录下，然后在/etc/rc.d/rc_.d文件中建立软链接即可
语法：
  •  
    update-rc.d 脚本名或服务 <remove|defaults|disable|enable>
     
 #1、在/etc/init.d目录下创建链接文件到后门脚本：ln -s /home/b4yi/kali-6666.elf /etc/init.d/backdoor#2、用 update-rc.d 命令将连接文件 backdoor 添加到启动脚本中去sudo update-rc.d backdoor defaults 99开机即执行 。
Linux 应急响应入门：入侵排查应该这样做

文章插图
入侵排查：
 more /etc/rc.local/etc/rc.d/rc[0~6].dls -l /etc/rc.d/rc3.d/计划任务排查：
需要注意的几处利用cron的路径：
 crontab -l # 列出当前用户的计时器设置crontab -r # 删除当前用户的cron任务上面的命令实际上是列出了
/var/spool/cron/crontabs/root该文件的内容：
Linux 应急响应入门：入侵排查应该这样做

文章插图
  • /etc/crontab只允许root用户修改
  • /var/spool/cron/存放着每个用户的crontab任务，每个任务以创建者的名字命名
  • /etc/cron.d/将文件写到该目录下，格式和/etc/crontab相同
  • 把脚本放在/etc/cron.hourly/、/etc/cron.daily/、/etc/cron.weekly/、/etc/cron.monthly/目录中，让它每小时/天/星期/月执行一次
小技巧：
 more /etc/cron.daily/* 查看目录下所有文件入侵排查：
重点关注以下目录中是否存在恶意脚本;
 /var/spool/cron/* /etc/crontab/etc/cron.d/*/etc/cron.daily/* /etc/cron.hourly/* /etc/cron.monthly/*/etc/cron.weekly//etc/anacrontab/var/spool/anacron/* 
入侵排查：查询已安装的服务：RPM 包安装的服务：
 chkconfig --list 查看服务自启动状态，可以看到所有的RPM包安装的服务ps aux | grep crond 查看当前服务系统在3与5级别下的启动项 中文环境chkconfig --list | grep "3:启用|5:启用"英文环境chkconfig --list | grep "3:on|5:on"源码包安装的服务:
 查看服务安装位置 ，一般是在/user/local/service httpd start


推荐阅读


上一篇：数据库：我都快爆了，你为什么还不分库分表？

下一篇：一秒批量删除Excel表格中间的40000行数据，我用名称搞定