Linux主机被入侵系列4：入侵恢复

深藏阁楼爱情的钟 2022-02-24 09:05 310阅读 0赞

主机被入侵后要怎么处理？

第0步当然是断网了。

1、root口令被修改：重置root口令，主要操作步骤：

1）重启centos，启动过程中长按ESC，进入GNU

2）选择系统，按E

3）选择kernel，按E

4）rhgb quiet 后面空格，输入1或single，回车

5）按B启动系统

6）输入passwd root重设root口令，直到显示“all authentication tokens updated successfully”

7）输入shutdown -r now，重启系统

2、root口令未被修改，立即修改root口令，建议先不急着重启，迅速检查下下列日志是否还在：

/root/.bash\_history

/var/spool/mail/root

/var/log/secure

/var/log/lastlog

/var/log/wtmp：last、ac -dp相关日志文件

如果还在，尽快重启；如果没有了，尝试恢复，然后再重启；

恢复原理：删除只是删除了文件对应的目录索引节点，如果该文件已被其他程序打开，则可以通过对应进程所有的文件描述符对已删除文件进行读写。

恢复示例：

1）secure文件被删除，通过lsof |grep /var/log/secure 找到打开secure的进程，得到PID；

2）进到对应目录：/proc/PID/fd/，可以找到secure对应的以数字命名的文件描述符，如4；

3）恢复文件：cat /proc/PID/fd/4 >/var/log/secure

3、检查账户文件/etc/passwd\*、/etc/shadow\*；查看是否有异常用户：

1）查看passwd，注意uid、gid为0的用户；

2）查看passwd，是否存在特权用户；

3）查看shadow，是否存在空口令用户。

当发现有异常用户时，确认后删除之，如果用户已经登录，尝试如下处理：

方法1：w 查看登录用户

pkill -kill -t TTY值

方法2：

ps -fu username 查看是否还有进程在使用，如果有，杀掉

userdel -rf username 如果还执行失败，继续

cd /var/run; mv utmp utmp\_bak;touch utmp utmp为已登录用户的数据库

userdel -rf username 再次执行

4、检查账户登录事件：lastlog、last

1）注意“entered promiscuous mode”

2）注意Remote Procedure Call(rpc) programs with a log entry that includes a large number

5、查看用户连接时间统计：ac -dp

6、查看日志/var/log/secure

7、查看异常进程：

1）top 确定PID，ll /proc/PID |grep -i exe 查看对应的脚本

2）ps -aux 注意UID为0的进程，lsof -p PID 查看进程所打开端口和文件

8、检查计划任务

1）ps -ef |grep /etc/crontab |grep -v "^\#" 查看是否有异常crontab配置

2）crontab -u root -l

3）ls /etc/cron.\*

9、检查后门

ls /var/spool/cron/

cat /etc/rc.d/rc.local

ls /etc/rc.d

ls /etc/rc3.d

10、检查系统服务

chkconfig|grep "3:on"

11、检查rootkit

rkhunter -c

chkrootkit -n|grep INFECTED \#-n 表示不检测NFS挂载的目录

如果提示没有命令，使用yum安装

发表评论取消回复

表情：

评论列表（有 0 条评论，310人围观）

还没有评论，来说两句吧...

相关阅读

相关 Linux入侵排查深入分析查找入侵原因

Linux入侵排查一、检查隐藏账户及弱口令检查服务器系统及应用账户是否存在弱口令：检查说明：检查管理员账户、数据库账户、MySQL 账户

客官°小女子只卖身不卖艺/ 2024年03月16日 22:20/ 0 赞/ 50 阅读

相关 Linux入侵检测

目录一、审计命令二、日志查看三、用户查看四、进程查看五、其他检查一、审计命令在linux中有5个用于审计的命令： l

太过爱你忘了你带给我的痛/ 2023年10月06日 16:12/ 0 赞/ 20 阅读

相关 Linux被kdevtmpfsi 挖矿病毒入侵

Linux被kdevtmpfsi挖矿病毒入侵一. 错误信息先上阿里云上的报警信息。有个最大的问题是：top命令查看自己服务器CPU运行情况，会发现kdev

你的名字/ 2023年07月21日 08:52/ 0 赞/ 23 阅读

相关 linux端口利用入侵,利用samba服务漏洞入侵linux主机

Samba是在Linux和UNIX系统上实现SMB协议的一个免费软件，由服务器及客户端程序构成,samba服务对应的端口有139、445等等.本文将简单介绍metasploit

矫情吗；*/ 2023年01月21日 09:22/ 0 赞/ 209 阅读

相关 linux如何判断服务器是否被入侵

实验几个步骤，借鉴网友资料，分享给网友。非常感谢网上提供资料帮助的网友。 1-当时谁登录。 W （查看以往登录信息，注意SHELL窗口最大化，才不会报错：68 colum

怼烎@/ 2022年06月04日 10:11/ 0 赞/ 249 阅读

相关排查Linux机器是否已经被入侵

随着开源产品的越来越盛行，作为一个Linux运维工程师，能够清晰地鉴别异常机器是否已经被入侵了显得至关重要，个人结合自己的工作经历，整理了几种常见的机器被黑情况供参考。

蔚落/ 2022年04月22日 15:48/ 0 赞/ 227 阅读

相关 Linux主机被入侵系列4：入侵恢复

主机被入侵后要怎么处理？第0步当然是断网了。 1、root口令被修改：重置root口令，主要操作步骤： 1）重启centos，启动过程中长按ESC，进入GNU

深藏阁楼爱情的钟/ 2022年02月24日 09:05/ 0 赞/ 311 阅读

相关 Linux主机被入侵系列3：挖矿进程被隐藏

1、现象服务器反应慢、top查看cpu使用低，ni值100，vmstat查看cpu使用率高； ps也无法看到相关进程； netstat可以看到异

拼搏现实的明天。/ 2022年02月24日 08:25/ 0 赞/ 695 阅读

相关 Linux主机被入侵系列2：Linux Redis自动化挖矿感染蠕虫过程及修复

整个入侵流程大概是包含以下几个环节： 1. 扫描开放6379端口的Linux服务器（后续感染扫描网段为1.0.0.0/16到224.255.0.0/16） 2. 通过re

朴灿烈づ我的快乐病毒、/ 2022年02月24日 05:36/ 0 赞/ 367 阅读

相关 linux 入侵检测

最近遇到了很多服务器被入侵的例子，为了方便日后入侵检测以及排查取证，我查询了一些linux服务器入侵取证的相关资料，并在此总结分享，以便日后查询。　　一般服务器被入侵的迹象

红太狼/ 2021年08月27日 16:12/ 0 赞/ 880 阅读