你怎么知道你的系统是否被***过?

呵呵,你可能 说看日志啊 ,如果你遇到了高手他们会清除他们***的日志啊!

那怎么办呢,我们想一想 他们***系统做什么呢 ,无非就是取得一些系统的权嘛,

然后用这些权利去执行他们的程序,既然要取得一些权利,无非就是新建用户,组啊,

修改一些特殊的程序来挂马啊,我们就可以通过查看我们的关键的程序及文件是否被

修改过来判断有没有被***啊.(那为什么不看日志有没有被修改过来看是否被***啊,笨啊,正常情况下日志都 会被修改的啊) ,怎么看文件有没有被修改啊,在Linux下有

一个很好的工作,md5sum,就是求文件或程序的MD5和的工具啦,这个MD5又是什么东东啊 其实就是消息摘要算法啊 每个文件或程序的MD5值都是不一样的啦,它是用复杂的数学算法求得的一个128bit的值,不管你的源文件有多大,他的值都是128bit的,如果文件仅有一点的修改,MD5值也会大不相同的啊 他就相当 于一个文件的指纹啊.

所以 我们先这样做 把系统关键文档和程序的MD5值求出 并备份到另外一台安全的计算机上,当我们怀疑被***的时候 再把这些关键文档和程序的MD5值求一次并保存为另一个文档,再比较这两个文档有没有不同,就可以看出一些蛛丝马迹啦,

下面是一个脚本

#!/bin/bash

export path=$PATH:/root

md5sum /etc/passwd >>/etc/md5db

md5sum /etc/shadow >>/etc/md5db

md5sum /etc/group >>/etc/md5db

md5sum /usr/bin/passwd >>/etc/md5db

md5sum /sbin/portmap>>/etc/md5db

md5sum /bin/login >>/etc/md5db

md5sum /bin/ls >>/etc/md5db

md5sum /bin/ps >>/etc/md5db

md5sum /usr/bin/top >>/etc/md5db

执行这个脚本后 上述的文件的MD5值就放入/etc/md5db这个文件中了,象下面这样

[linux@/etc]# cat md5db

fa25ad401b9f8e458cc0516c289eb529  /etc/passwd

18f64e8dd87461f0208bccf264a00711  /etc/shadow

6f60617c12e3d1a9599c488dc5335b82  /etc/group

673f2fbc91f3421eb560f0a0d8858262  /usr/bin/passwd

80b3985cea8473846532824052964824  /sbin/portmap

ed78748061c05d2263baf43c6a2e400f  /bin/login

774cb14b70080573906bbd26df7a9c58  /bin/ls

8cc6f96d1bd21250b731eb0ac85214a7  /bin/ps

bc1694cc57b8b5633680d57885393e19  /usr/bin/top

把/etc/md5db这个文件备份到另一个计算机中,以后发现终点 比对两个文件就是了

注意 如果你自己修改了密码 上面的有些文件的MD5值也会发生变化,那你就要重新

运行这个脚本来获得新的MD5值了.