Linux主机被入侵系列4：入侵恢复

深藏阁楼爱情的钟 2022-02-24 09:05 247阅读 0赞

主机被入侵后要怎么处理？

第0步当然是断网了。

1、root口令被修改：重置root口令，主要操作步骤：

1）重启centos，启动过程中长按ESC，进入GNU

2）选择系统，按E

3）选择kernel，按E

4）rhgb quiet 后面空格，输入1或single，回车

5）按B启动系统

6）输入passwd root重设root口令，直到显示“all authentication tokens updated successfully”

7）输入shutdown -r now，重启系统

2、root口令未被修改，立即修改root口令，建议先不急着重启，迅速检查下下列日志是否还在：

/root/.bash\_history

/var/spool/mail/root

/var/log/secure

/var/log/lastlog

/var/log/wtmp：last、ac -dp相关日志文件

如果还在，尽快重启；如果没有了，尝试恢复，然后再重启；

恢复原理：删除只是删除了文件对应的目录索引节点，如果该文件已被其他程序打开，则可以通过对应进程所有的文件描述符对已删除文件进行读写。

恢复示例：

1）secure文件被删除，通过lsof |grep /var/log/secure 找到打开secure的进程，得到PID；

2）进到对应目录：/proc/PID/fd/，可以找到secure对应的以数字命名的文件描述符，如4；

3）恢复文件：cat /proc/PID/fd/4 >/var/log/secure

3、检查账户文件/etc/passwd\*、/etc/shadow\*；查看是否有异常用户：

1）查看passwd，注意uid、gid为0的用户；

2）查看passwd，是否存在特权用户；

3）查看shadow，是否存在空口令用户。

当发现有异常用户时，确认后删除之，如果用户已经登录，尝试如下处理：

方法1：w 查看登录用户

pkill -kill -t TTY值

方法2：

ps -fu username 查看是否还有进程在使用，如果有，杀掉

userdel -rf username 如果还执行失败，继续

cd /var/run; mv utmp utmp\_bak;touch utmp utmp为已登录用户的数据库

userdel -rf username 再次执行

4、检查账户登录事件：lastlog、last

1）注意“entered promiscuous mode”

2）注意Remote Procedure Call(rpc) programs with a log entry that includes a large number

5、查看用户连接时间统计：ac -dp

6、查看日志/var/log/secure

7、查看异常进程：

1）top 确定PID，ll /proc/PID |grep -i exe 查看对应的脚本

2）ps -aux 注意UID为0的进程，lsof -p PID 查看进程所打开端口和文件

8、检查计划任务

1）ps -ef |grep /etc/crontab |grep -v "^\#" 查看是否有异常crontab配置

2）crontab -u root -l

3）ls /etc/cron.\*

9、检查后门

ls /var/spool/cron/

cat /etc/rc.d/rc.local

ls /etc/rc.d

ls /etc/rc3.d

10、检查系统服务

chkconfig|grep "3:on"

11、检查rootkit

rkhunter -c

chkrootkit -n|grep INFECTED \#-n 表示不检测NFS挂载的目录

如果提示没有命令，使用yum安装

发表评论取消回复

表情：

评论列表（有 0 条评论，247人围观）

还没有评论，来说两句吧...

相关阅读

相关 Linux入侵排查深入分析查找入侵原因

Linux入侵排查一、检查隐藏账户及弱口令检查服务器系统及应用账户是否存在弱口令：检查说明：检查管理员账户、数据库账户、MySQL 账户

客官°小女子只卖身不卖艺/ 2024年03月16日 22:20/ 0 赞/ 17 阅读

相关 Windows主机入侵痕迹排查办法

目录 1、排查思路 1.1、初步筛选排查资产 1.2、确定排查资产 1.3、入侵痕迹排查 2、排查内容 2

Dear 丶/ 2023年10月06日 16:06/ 0 赞/ 21 阅读

相关 linux端口利用入侵,利用samba服务漏洞入侵linux主机

Samba是在Linux和UNIX系统上实现SMB协议的一个免费软件，由服务器及客户端程序构成,samba服务对应的端口有139、445等等.本文将简单介绍metasploit

矫情吗；*/ 2023年01月21日 09:22/ 0 赞/ 146 阅读

相关 Kernel.org 被黑客入侵

9月1日消息，今天www.kernel.org的一则公告引人关注，公告称Linux内核源码在本月早些时候被黑客入侵了！昨日被调查出该情况，不过代码维护者确信源码本身没有收到影响

绝地灬酷狼/ 2022年06月18日 01:42/ 0 赞/ 152 阅读

相关 linux如何判断服务器是否被入侵

实验几个步骤，借鉴网友资料，分享给网友。非常感谢网上提供资料帮助的网友。 1-当时谁登录。 W （查看以往登录信息，注意SHELL窗口最大化，才不会报错：68 colum

怼烎@/ 2022年06月04日 10:11/ 0 赞/ 221 阅读

相关排查Linux机器是否已经被入侵

随着开源产品的越来越盛行，作为一个Linux运维工程师，能够清晰地鉴别异常机器是否已经被入侵了显得至关重要，个人结合自己的工作经历，整理了几种常见的机器被黑情况供参考。

蔚落/ 2022年04月22日 15:48/ 0 赞/ 187 阅读

相关 Linux主机被入侵系列4：入侵恢复

主机被入侵后要怎么处理？第0步当然是断网了。 1、root口令被修改：重置root口令，主要操作步骤： 1）重启centos，启动过程中长按ESC，进入GNU

深藏阁楼爱情的钟/ 2022年02月24日 09:05/ 0 赞/ 248 阅读

相关 Linux主机被入侵系列3：挖矿进程被隐藏

1、现象服务器反应慢、top查看cpu使用低，ni值100，vmstat查看cpu使用率高； ps也无法看到相关进程； netstat可以看到异

拼搏现实的明天。/ 2022年02月24日 08:25/ 0 赞/ 663 阅读

相关 Linux主机被入侵系列2：Linux Redis自动化挖矿感染蠕虫过程及修复

整个入侵流程大概是包含以下几个环节： 1. 扫描开放6379端口的Linux服务器（后续感染扫描网段为1.0.0.0/16到224.255.0.0/16） 2. 通过re

朴灿烈づ我的快乐病毒、/ 2022年02月24日 05:36/ 0 赞/ 326 阅读

相关 linux 入侵检测

最近遇到了很多服务器被入侵的例子，为了方便日后入侵检测以及排查取证，我查询了一些linux服务器入侵取证的相关资料，并在此总结分享，以便日后查询。　　一般服务器被入侵的迹象

红太狼/ 2021年08月27日 16:12/ 0 赞/ 820 阅读