前言
接着上篇windows应急响应而推出的linux篇。
入侵排查
主要排查点：定时任务，日志分析，进程分析，流量分析
如服务器部署了web应用还需要排查源码，检测webshell
关键位置排查
1、账号
内容含义：注册名、口令、用户标识号、组标识号、用户名、用户主目录、命令解释程序
分析：查看账户文件/etc/passwd，修改时间和内容。是否存在攻击者创建的恶意用户
stat /etc/passwd
cat /etc/passwd
2、命令执行记录 ~/.bash_history
作用：命令执行记录 ~/.bash_history
分析：是否有账户执行过恶意操作系统命令
3、排查异常文件
www目录下所有.jsp后缀文件
find /www -name *.jsp
最近3天修改过的文件
find -type f -mtime -3
最近3天创建的文件
find -type f -ctime -3
4、排查进程
查看进程
ps aux
查看某个用户启动了什么进程
lsof -u root
查看进程cpu占比（查看最高cpu占有率）
top
5、排查网络连接
排查进程端口相关的信息
lsof -p 1816 #查看PID为1816的进程打开的文件
lsof -c sshd #查看进程sshd打开的文件
lsof -i:339 #查看339端口对应的一些进程
列出连接筛选tcp
netstat -anop | grep tcp
恶意软件清除
-
查杀病毒clamav
-
webshell 查杀cloudwalker
-
rootkit查杀RootkitHunter和Chkroot
篇幅较大，自行研究。
ps：部分后门文件删除。需要要先修改权限为000
定时任务排查
查看定时任务
/var/spool/cron/*
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/*
/etc/cron.hourly/*
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*
排查cron文件中是否存在恶意脚本
clamav
/var/spool/cron/*
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/*
/etc/cron.hourly/*
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*
日志分析
分析重点：找到入侵方式，修复漏洞。
1、安全日志 /var/log/secure
作用：安全日志secure包含验证和授权方面信息
分析：是否有IP爆破成功
2、中间件日志(Web日志access_log)
nginx、apache、tomcat、jboss、weblogic、websphere
作用：记录访问信息
分析：请求次数过大，访问敏感路径的IP
位置：/var/log下 access.log文件（apache默认位置）
位置：/var/log/nginx下 access名称日志（nginx日志位置）
位置：tomcat、weblogic等日志均存放在安装路径下logs文件下
访问日志结构：访问IP---时间---请求方式---请求路径---请求协议----请求状态---字节数
3.登陆日志（可直接使用命令调取该信息，对应命令last/lastb）
位置：/var/log/wtmp #成功连接的IP信息
位置：/var/log/btmp #连接失败的IP信息
4.cron(定时任务日志)日志
位置：/var/log/cron
作用：查看历史计划任务（对该文件进行分析调取恶意病毒执行的计划任务，获取准确时间）
5、其他日志
作用：记录访问信息
分析：敏感操作
FTP /var/log/vsftp.log #或者是同路径下的xferlog
Squid /var/log/squid #或者是squid.access.log
NFS /var/log/nfs
IPTABLES /var/log/iptables/……
Samba /var/log/samba
DNS /var/log/message
DHCP /var/log/message #或者/var/lib/dhcp/db/dhcpd.leases
Mail /var/log/maillog
