Linux 服务器被黑后处理方法

1、检查系统用户
# less /etc/passwd
# grep :0: /etc/passwd（检查是否产生了新用户，和UID、GID是0的用户）
# ls -l /etc/passwd（查看文件修改日期）
# awk -F: ‘$3= =0 {print $1}’ /etc/passwd（查看是否存在特权用户）
# awk -F: ‘length($2)= =0 {print $1}’ /etc/shadow（查看是否存在空口令帐户）

2. 检查日志
# last（查看正常情况下登录到本机的所有用户的历史记录）
注意”entered promiscuous mode”//混合模式
注意错误信息
注意Remote Procedure Call (rpc) programs with a log entry that includes a large number (> 20) strange characters(-^PM-^PM-^PM-^PM-^PM-^PM-^PM-^PM)

3. 检查进程
# ps -aux（注意UID是0的）
# lsof -p pid（察看该进程所打开端口和文件）
# cat /etc/inetd.conf | grep -v “^#”（检查守护进程）
检查隐藏进程
# ps -ef|awk ‘{print }’|sort -n|uniq >1
# ls /porc |sort -n|uniq >2
# diff 1 2

4. 检查文件
# find / -uid 0 –perm -4000 –print
# find / -size +10000k –print
# find / -name “…” –print
# find / -name “.. ” –print
# find / -name “. ” –print
# find / -name ” ” –print
注意SUID文件，可疑大于10M和空格文件
# find / -name core -exec ls -l {} ;（检查系统中的core文件）
检查系统文件完整性
# rpm –qf /bin/ls
# rpm -qf /bin/login
# md5sum –b 文件名
# md5sum –t 文件名

5. 检查RPM
# rpm –Va
输出格式：
S – File size differs
M – Mode differs (permissions)
5 – MD5 sum differs
D – Device number mismatch
L – readLink path mismatch
U – user ownership differs
G – group ownership differs
T – modification time differs
注意相关的 /sbin, /bin, /usr/sbin, and /usr/bin

6. 检查网络
# ip link | grep PROMISC（正常网卡不该在promisc模式，可能存在sniffer）
# lsof –i
# netstat –nap（察看不正常打开的TCP/UDP端口)
# arp –a

7. 检查计划任务
注意root和UID是0的schedule
# crontab –u root –l
# cat /etc/crontab
# ls /etc/cron.*

8. 检查后门
# cat /etc/crontab
# ls /var/spool/cron/
# cat /etc/rc.d/rc.local
# ls /etc/rc.d
# ls /etc/rc3.d
# find / -type f -perm 4000

9. 检查内核模块
# lsmod

10. 检查系统服务
# chkconfig
# rpcinfo -p（查看RPC服务）

11. 检查rootkit
# rkhunter -c
# chkrootkit -q

注rootkit功能很强大：

1. 提供 root 后门
2. 控制内核模块的加载
3. 隐藏文件
4. 隐藏进程
5. 隐藏端口
6. 隐藏内核模块

来自网络整理

Linux 服务器被黑后处理方法相关推荐

讲解Linux服务器被黑解决方法
平时会有一些朋友遇见服务器被黑的问题,经过搜集和整理相关的相关的材料,在这里本人给大家找到了Linux服务器被黑的解决方法,希望大家看后会有不少收获.如果你安装了所有正确的补丁,拥有经过测试的防火墙, ...
网站被黑后处理方法及删除批量恶意代码的方法步骤
网站被黑后处理方法及删除批量恶意代码的方法步骤如果发现网站出现异常情况,如页面被修改.管理账号不能登录,则说明网站已经被入侵.这时就需要尽快进行处理,以防止黑客种植的网页病毒扩散. 暂时关闭网站网 ...
常用的Linux服务器各项性能指标查看方法！
分享常用的Linux服务器各项性能指标查看方法硬盘查看命令df 硬盘查看命令df最常用参数是-h,以容易阅读的方式显示磁盘分区使用情况. df -h df -h /root/#以易读方式显示目录所在 ...
python连接linux服务器读取txt文件_python 读取Linux服务器上的文件方法
使用Python语句,读取Linux远端服务器上的文件打印到控制台的代码实现: 下载包:paramiko import paramiko #服务器信息,主机名(IP地址).端口号.用户名及密码 hos ...
增加linux服务器根目录空间大小方法
增加linux服务器根目录空间大小方法,由于没做分区照成存储空间不足步骤: 1.df -hl --查看系统文件分配和使用情况 Filesystem Size Used Avail Use% Moun ...
linux服务器备份软件下载,Linux服务器的常用备份方法服务器系统备份方法
文件备份无疑是企业重要的网络管理工作之一,尤其是很多单位的文件服务器上常常存储单位的无形资产和商业机密,如何保护这些文件的安全至关重要.数据备份是一项必不可少的管理工作. 系统备份是系统管理工作中十分 ...
linux 部署php svn,Linux服务器搭建svn环境方法详解
下面由Linux教程栏目给大家介绍Linux服务器搭建svn环境的方法,希望对需要的朋友也是帮助! 1.安装svn服务端 sudo apt-get install subversion 2.安装svn ...
Linux服务器的常用备份方法
系统备份是系统管理工作中十分重要的一个环切,本文详细介绍了各种Linux系统的备份方法,相信对大家的日常管理工作有所帮助. 系统备份是系统管理工作中十分重要的一个环切,本文详细介绍了各种Linux系统 ...
服务器怎么用u盘传文件进去_本地文件上传到linux服务器的几种方法
本文介绍几种常见的方法,把文件上传到Linux服务器中!速维网络常见有使用:scp命令.xshell软件里的xftp程序.U盘挂载.服务器自带的lrzsz程序. 一.scp使用说明: 1.把本机的文 ...

Linux 服务器被黑后处理方法

Linux 服务器被黑后处理方法相关推荐

最新文章

热门文章