如何处理linux恶意程序

末蓝、 2023-07-06 06:20 15阅读 0赞

> # 如何处理linux恶意程序 #

--------------------

##### 一、准备实验环境SYN洪水攻击 #####

一台Windows Server 2003做控制端、一台linux服务器做被控制端（肉机），使用软件如下：  
![format_png][]  
点击生成器输入控制端的IP生成木马文件txma，10771是控制监控程序，如果有被控制端上线立马可以在控制台发现，将txma上传到linux服务器，设置可执行权限并运行此木马，结果如下：  
被控制端：将txma上传到linux服务器，设置可执行权限并运行此木马  
![format_png 1][]  
注意 id是闲置的cpu  
控制端：有肉机上线发起攻击设置攻击的服务器ip和端口  
![format_png 2][]

##### 二、肉机上线发现清除木马进程 #####

*  top 命令  
    ![format_png 3][]  
    可以发现id是0 CPU可用是0，有个进程txma PID 2187使用的CPU过多异常情况  
    可以使用killall tama 或者 kill -9 2187
 *  netstat -natp 命令  
    ![format_png 4][]  
    可以发现linux服务器开启一个本地异常端口连接另一个IP的端口  
    此时也能确认PID是2187，可以使用kill -9 2187
 *  清除木马文件

[root@k8s-master ~]# find / -name "*txma*"  
    /root/txma  
    /usr/bin/txma  
    /usr/local/bin/txma  
    [root@k8s-master ~]#

查到木马文件进行删除

##### 三、清除木马自动复活点 #####

*  使用crontab计划任务复活木马  
    crontab -e 也可以在cat /var/spool/cron/root查看 \#注意 这是用户计划任务要查询每一个用户的  
    cat /etc/crontab 这是系统计划任务 \#注意 格式需要指明那个用户执行
 *  系统自启动复活木马  
    在/etc/rc.local 文件中添加木马启动命令，这个文件在开机后会执行
 *  一些自动加载的文件复活木马  
    /etc/profile \#所有用户登录系统时自动执行此文件，木马复活下载运行可以放到这里；  
    .bash\_profile用户家目录下面的 \#当前此用户登录系统会执行，木马复活下载运行可以放到这里 ；  
    /etc/bashrc \#所有子shell都会执行此文件，木马复活下载运行可以放到这里 ；  
    .bashrc 用户家目录下面的 \#当前此用户子shell会执行，木马复活下载运行可以放到这里 ；  
    注意文件的扩展属性：  
    chattr +i 文件名 \#文件只读  
    lsattr \#查看
 *  rootkit后门复活木马  
    rootkit后门是用户执行常用的命令时候，复活木马程序，此时系统命令被感染。  
    一般是合并木马文件和命令文件、或者写脚本关联使用软连接到命令  
    例如：  
    cat txma /usr/bin/ps >> ps1  
    which ps 把ps1 软连到ps

##### 四、 断木马下载的后路 #####

linux系统不安装下载的命令 例如：curl wget等

##### 五、删除木马创建的用户 #####

userdel -r 用户名 \#如果删除不了是因为此用户有运行的进程，需要kill此用户的所运行的进程

##### 六、添加微信公众号一起进步 #####

[资料下载][Link 1] https://download.csdn.net/download/qq\_31555951/12162212  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMxNTU1OTUx_size_16_color_FFFFFF_t_70]

[format_png]: https://imgconvert.csdnimg.cn/aHR0cDovL2RvYy5vYS56aHJ0LmNvbS5jbi9QdWJsaWMvVXBsb2Fkcy8yMDIwLTAyLTA3LzVlM2QxOGY4OWE2ODUucG5n?x-oss-process=image/format,png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cDovL2RvYy5vYS56aHJ0LmNvbS5jbi9QdWJsaWMvVXBsb2Fkcy8yMDIwLTAyLTA3LzVlM2QxYTA4M2MwMDEucG5n?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cDovL2RvYy5vYS56aHJ0LmNvbS5jbi9QdWJsaWMvVXBsb2Fkcy8yMDIwLTAyLTA3LzVlM2QxYTg3NDRjNGEucG5n?x-oss-process=image/format,png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cDovL2RvYy5vYS56aHJ0LmNvbS5jbi9QdWJsaWMvVXBsb2Fkcy8yMDIwLTAyLTA3LzVlM2QyMmU2YjAxMDkucG5n?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cDovL2RvYy5vYS56aHJ0LmNvbS5jbi9QdWJsaWMvVXBsb2Fkcy8yMDIwLTAyLTA3LzVlM2QyNDliY2YyYjkucG5n?x-oss-process=image/format,png
[Link 1]: https://download.csdn.net/download/qq_31555951/12162212
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMxNTU1OTUx_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200321091007143.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMxNTU1OTUx,size_16,color_FFFFFF,t_70