运维基础（15） Linux 应急响应

Linux 环境下处理应急响应事件往往会更加棘手，因为相比于 Windows ，Linux 没有像 Autorun、procexp 这样的应急响应利器，也没有统一的应急响应处理流程。

所以，本文将会对 Linux 环境下的应急响应流程进行讲解，并且提供每一个环节中所用到的 shell 命令，以帮助大家快速、系统化地处理 Linux 环境下的病毒。

处理 Linux 应急响应主要分为4个环节：识别现象--清除病毒--闭环兜底--系统加固。

首先从用户场景的主机异常现象出发，先识别出病毒的可疑现象。然后定位到具体的病毒进程以及病毒文件，再进行清除。

完成这2步还不够，病毒一般会通过一些自启动项及守护程序进行重复感染，所以我们要执行闭环兜底确保病毒不再被创建。

将主机上的病毒项清除干净后，最后就是进行系统加固了，防止病毒从 Web 再次侵入。

走完这4个环节，才能算是一个应急响应流程的结束。

识别现象

第1个环节要求我们通过系统运行状态、安全设备警告，发现主机异常现象，以及确认病毒的可疑行为。

系统 CPU 是否异常

枚举进程，CPU 降序排序：top

CPU 占用率超过70%且名字比较可疑的进程，大概率就是挖矿病毒了。

是否存在可疑进程

枚举进程命令行：ps - aux

病毒一般都携带可疑的命令行，当你发现命令行中带有 url 等奇怪的字符串时，就要注意了，它很可能是个病毒 downloader。

安全网关有无报警

从安全网关报警中识别出威胁是最直接，但确认主机已经感染了病毒只是第一步，接下来是定位，具体是哪个进程在与 C & C 通信。

监控与目标 IP 通信的进程：
while true; do netstat -antp | grep [ip]; done

有时安全网关检测到的不全是恶意 IP ,还有可能是个域名，这种情况下，域名对应的 IP 是变化的，我们不能直接用上述方法进行监控。

我们可以先在 host 文件中添加一条规则，将恶意域名重定向到一个随机的 IP 地址，然后对其进行监控。

这样就能得到与之通信的恶意进程了。

有无可疑历史命令

遍历主机历史命令，查找有无恶意命令：history

清除病毒

从第1个环节追溯到的进程信息，将会帮助我们定位到病毒进程&病毒文件，实现清除。

结束病毒进程

清除可疑进程的进程链：
ps -elf | grep [pid] kill -9 [pid]

删除病毒文件

定位病毒进程对应的文件路径：
ls -al /proc/[pid]/exe rm -f [exe_path]

闭环兜底

Linux 下的病毒持久化驻留方式相比于 Windows 较少，主要为下面四种方式：

检查是否存在可疑定时任务

枚举定时任务：crontab-l
查看 anacron 异步定时任务：cat/etc/anacrontab

检查是否存在可疑服务

枚举主机所有服务，查看是否有恶意服务：
service -- status - all

检查系统文件是否被劫持

枚举系统文件夹的文件，按修改事件排序查看7天内被修改过的文件：
find /usr/bin/ /usr/sbin/ /bin/ /usr/local/bin/ -type f -mtime +7 | xargs ls -la

检查是否存在病毒守护进程

监控守护进程的行为：lost - p [pid]

扫描是否存在恶意驱动

枚举/扫描系统驱动：lsmod

安装 chkrootkit 进行扫描：
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gztar zxvf chkrootkit.tar.gzcd chkrootkit-0.52make sense./chkrootkit

打上常见 Web 漏洞补丁
structs2系列RCE漏洞
thinkphp5.XRCE漏洞
Redis未授权访问漏洞
ConfluenceRCE漏洞（CVE_2019_3396）
DrupalRCE漏洞（CVE-2018-7600）
ThinkPHPRCE漏洞（CVE-2019-9082）

结尾

Linux 平台下的恶意软件威胁以僵尸网络蠕虫和挖矿病毒为主，由于 Linux 大多作为服务器暴露在公网，且 Web 应用的漏洞层出不穷，所以很容易被大范围入侵。

常见病毒：DDG、systemdMiner、BillGates、watchdogs、XorDDos，在很多Linux上都有。

所以，一定要养成不使用弱密码、勤打补丁的好习惯。

运维基础（15） Linux 应急响应相关推荐

linux云自动化运维,Liunx运维一线大神亲授全新Linux云计算运维基础与Linux Shell自动化运维实战课程...
Liunx运维一线大神亲授全新Linux云计算运维基础与Linux Shell自动化运维实战课程全新Linux云计算运维基础与Linux Shell自动化运维实战课程,由于国内一线大神亲自授课与教 ...
运维基础（9）Linux性能调优三大系统
这个系统好慢.网站又打不开了,太卡了,又没响应了!"相信大家都遇到过这种抱怨,这是应用系统出现了性能问题,需要性能调优. 性能调优,要求对计算机硬件.操作系统和应用有相当深入的了解. 调节三 ...
linux 运维基础问题_Linux基础能力问题和解答
linux 运维基础问题 This section contains Aptitude Questions and Answers on Linux Basics. 本节包含有关Linux基础知识的 ...
SRE运维工程师笔记-Linux基础入门
SRE运维工程师笔记-Linux基础入门 1. Linux基础 1.1 用户类型 1.2 终端terminal 1.2.1 终端类型 1.2.2 查看当前的终端设备 1.3 交互式接口 1.3.1 交 ...
第一阶段·Linux运维基础-第1章·Linux基础及入门介绍
01-课程介绍-学习流程 02-服务器硬件-详解 03-服务器核心硬件-服务器型号-电源-CPU 01-课程介绍-学习流程 1.1. 光看不练,等于白干: 1.2 不看光练,思想怠慢: 1.3 即看又 ...
运维基础（10）linux被删数据恢复方法
https://sourceforge.net/projects/extundelete/extundelete --help 其中,参数(options)有: --version, -[vV],显示 ...
620安装linux_Linux运维基础 Linux的quot;桑巴quot;
一.了解samba: Samba是用于Linux和Unix的标准Windows互操作性程序套件. Samba是根据GNU通用公共许可证许可的自由软件,Samba项目是Software Freedom ...
（一）mysql 运维基础篇（Linux云计算从入门到精通）
学习预览: (一)mysql 运维基础篇(Linux云计算从入门到精通) (二)mysql 索引和视图(数据库运维基础补充) (三)mysql 触发器.存储过程和函数(数据库运维基础补充) (四)My ...
Linux运维基础进阶——PPT汇总
Linux运维基础 admin day1--云网络基础 day2--Linux系统简介.安装Linux系统.Linux基本操作 day3--命令行基础.目录和文件管理 day4--管理用户和组.tar ...

运维基础（15） Linux 应急响应

运维基础（15） Linux 应急响应相关推荐

最新文章

热门文章