Linux入侵排查

1.检测系统账号安全

1.1 用户文件信息/etc/passwd

root:x:0:0:root:/root:/bin/bash
account:password:UID:GID:GECOS:directory:shell
#用户名：密码：用户ID：组ID：用户说明：家目录：登陆之后shell

注意：无密码只允许本机登陆，远程不允许登陆

1.2 影子文件

t:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1WpkopY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7:::
#用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间隔：密码有效期：密码修改到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留

who 查看当前登录用户（tty本地登陆 pts远程登录）

w 查看系统信息，想知道某一时刻用户的行为

uptime 查看登陆多久、多少用户，负载

1.3 入侵排查

• 查询特权用户（uid为0）

awk -F: '$3==0{print $1}' /etc/passwd

• 查询可以远程登录的帐号信息

awk '/\$1|\$6/{print $1}' /etc/shadow

• 除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限

more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL) "

• 禁用或删除多余及可疑的帐号

usermod -L user	#禁用帐号，帐号无法录，/etc/shadow第二栏为!开头
userdel user	#删除user用户
userdel -r user	#将删除user用户，并且将/home目录下的user目录一并删除

2.历史命令查看

2.1 root 的历史命令

history

2.2 打开/home各帐号目录下的.bash_history，查看普通帐号的历史命令

• 如果用户的默认shell 是bash，那么bash会记录用户的默认历史记录。
• _{/.bash_history记录的是上一次登陆系统所执行过的命令，而当前登陆这一次则保存在内存缓存中，当系统关机/重启后会更新到}/.bash_history文件中。

2.3 入侵排查

• 进入用户目录下
• cat .bash_history >> history.txt

2.4 历史操作命令清除

history –c 
#该命令并不会清楚保存在文件中的记录，需要手动删除~/.bash_history文件中的记录。

2.5 历史命令优化查看

• 增加历史命令查看条数、增加显示登陆的IP和执行命令的时间信息
• 保存1万条命令配置：

sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile

• 在/etc/profile的文件尾部添加如下行数配置信息：

######jiagu history xianshi#########
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
shopt -s histappend
export PROMPT_COMMAND="history -a"
######### jiagu history xianshi ##########

• 使配置生效：source /etc/profile

3.检查端口、进程

检查异常端口、进程

• 使用netstat 网络连接命令，分析可疑端口、IP、PID
• netstat -antlp|more
• 查看下pid所对应的进程文件路径，运行ls -l /proc/$PID/exe或file /proc/$PID/exe（$PID 为对应的pid 号），查看启动命令ps –ef |grep $PID（效果同 ps aux |grep $PID）

4.启动项

有时木马或者病毒等脚本会隐藏在开机启动中，而Linux的启动项是取决于当前用户的运行级别的。

4.1 Linux系统运行级别

• 运行级别命令 runlevel

4.2开机启动配置文件

/etc/rc.local/
etc/rc.d/rc[0~6].d  #0~6 代表运行级别

当需要开机启动脚本时，做法是将可执行脚本丢在/etc/init.d目录下，接着在/etc/rc.d/rc*.d中建立软链接即可。

4.3 入侵排查

• 启动项文件

ls –l /etc/rc.d/rc[0~6].d 

5.检查系统定时任务

入侵系统的黑客一般会使用crontab创建定期任务，如定期下载木马，定期下载挖矿病毒，定期进行内网扫描等等。

crontab -l #列出某个用户cron服务的详细内容
crontab -e #进入crontab任务编辑
crontab -r #删除所有计划任务
#不同用户的crontab 任务保存在/var/spool/cron/crontabs/用户名 文件路径下

Linux 系统创建定时任务除了crontab之外，还有一个工具是anacron。anacron是一个异步定时任务调度工具，用来弥补crontab的不足。

使用案例：

• 每天运行/home/backup.sh脚本：

vi /etc/anacrontab #加入如下内容
@daily 10 example.daily /bin/bash /home/backup.sh
#当机器在backup.sh 期望被运行时是关机的，anacron会在机器开机10分钟之后运行他，而无需在等待下一个周期。

入侵排查：重点关注一下目录是否存在恶意脚本

/var/spool/cron/* 
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/* 
/etc/cron.hourly/* 
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*

6.检查系统服务

服务自启动使用chkconfig

chkconfig [--add][--del][--list][系统服务]
--add 增加服务
--del 删除服务
chkconfig --level httpd 2345 on 设置httpd在运行级别2、3、4、5的情况下是on(默认2345)

服务自启动 修改 /etc/re.d/rc.local 文件

加入 /etc/init.d/httpd start

排查

chkconfig  --list  	#查看服务自启动状态
ps aux | grep crond #查看当前服务
系统在3与5级别下的启动项 
中文环境:chkconfig --list | grep "3:启用\|5:启用"
英文环境:chkconfig --list | grep "3:on\|5:on"
查看服务安装位置 ，一般是在/user/local/
service httpd start
搜索/etc/rc.d/init.d/  查看是否存在

7.检查异常文件

7.1 查看敏感目录

• 如/tmp目录下的文件，同时注意隐藏文件夹，以“..”为名的文件夹具有隐藏属性

7.2 得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？

• 可以使用find命令来查找，如 find /opt -iname "*" -atime 1 -type f 找出 /opt 下一天前访问过的文件

7.3 针对可疑文件可以使用stat进行创建修改时间

8.日志分析

日志默认存放位置： /var/log

查看日志配置情况： more /etc/rsyslog.conf

8.1 定位有多少IP在爆破主机的root帐号：

grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

8.2 攻击者爆破哪些用户名？

grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

8.3 登录成功的IP有哪些？

grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

#登录成功的日期、用户名、IP：
grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 

8.4 系统添加、删除用户的记录和时间

grep "useradd" /var/log/secure 

grep "userdel" /var/log/secure