linux排查

应急响应

一：网络连接排查(重点关注高危端口的链接)
netstat -pantu

二：获取异常进程pid
占用CPU空间
top -c -o %CPU
ps -eo pid,ppid,%cpu,%mem,cmd --sort=-%cpu | head -5
占用内存空间
top -c -o %MEM
ps -eo pid,ppid,%mem,%cpu,cmd --sort=-%mem | head -5

更具PID查看由进程起的线程>>其中spid就是线程ID
ps H -T -p pid

根据进程PID定位程序的实际路径
ls -al /proc/[pid]
ls -al /proc/[pid]exe
file /proc/[PID]/exe
查看文件列出的进程
lsof /var/log/message

根据PID获取程序的详细信息
lsof [pid]
获取进程PID启动时的目录，并不一定是恶意文件所在的目录，只是启动恶意文件的路径
pwdx [pid]
获取进程状态信息
systemctl status [pid]

三：结束进程并清除文件
如果无子进程（会直接杀死指定进程，但是进程产生的子进程并不会杀死）
kill -9 [pid]
如果有子进程(杀掉进程组)
kill -9 -[pid]
用于终止某个指定名称的服务所对应的全部进程
例如：killall httpd

有时WINDOWS和LINUX传输文件或攻击者制造的文件，文件名是乱码的，无法直接通过乱码的文件名删除，
可以通过inode确定文件名然后删除
例如：查看inode
ls -li eval.sh
删除文件
find ./* -inum 12327526 -delete
find ./* -inum 12327526 -exec rm -rf {} \;
find ./* -inum 12327526 |xargs rm -rf

四：文件维度
经常存在可疑现象的目录,一般时间最近的最可疑 ls -alt 按照时间排序查看
用户目录：/root、/home/xx
临时目录：/tmp、/var/tmp
网站目录
放命令的目录：/bin、/sbin、/usr/bin、/usr/sbin

查找可疑文件
1：按时间查找，比如webshell
find / -name *.php -o -name *.jsp -type f -atime -5 (查找5天内的访问过的以php,jsp为后缀的文件) mtime ctime区别是ctime权限变了
2:按用户查找 （入侵者创建账号后，可能会创建文件）
find / -user hack
3:按权限查找
find / -perm 777 -type f
find / ! -perm 755 -type f

五：计划任务排查
crontab -l -u user >> -u参数可以指定用户
查看/etc下计划任务文件
/etc/cron.d/
/etc/cron.d/0hourly 系统每小时第一分钟需要执行的任务
/etc/cron.deny 用户拒绝列表（在该文件中的用户不能使用cron服务）
/etc/crontab 该文件的作用相当于/etc/cron.d/下面的某一个文件，可以定义系统计划任务
/etc/cron.monthly/ 存放系统每个月需要执行的脚本
/etc/cron.weekly/ 存放系统每周需要执行的脚本
/etc/cron.daily/ 存放系统每天需要执行的脚本
/etc/cron.hourly/ 存放系统每小时需要执行的脚本
/var/spool/cron 这个目录用来存放各个用户自己设定的定时任务，普通用户没有权限直接访问
#cron执行时，也就是要读取三个地方的配置文件：一是/etc/crontab，二是/etc/cron.d目录下的所有文件，三是每个用户的配置文件
tail /var/log/cron 查看计划任务的日志

六：启动项排查
ls -alt /etc/rc.local
ls -alt /etc/rc.d/rc[0~6].d
ls -alt /etc/init.d/
各个执行等级的启动脚本是透过ls -alt /etc/rc.d/rc[0~6].d/SXXXdaemon链接到/etc/init.d/daemon
daemon守护进程相当于WINDOWS的service

Centos7不再使用init启动服务
修改某个启动服务的设定
cd /usr/lib/systemd/system/
查看某个服务开机是否执行
cd /etc/systemd/system/
查看服务运行状态信息，可以看到是否自启
systemctl status [daemon]
systemctl is-enable [daemon]
Linux 系统中所有的自启动服务都会在/etc/systemd/system/multi-user.target.wants/目录下生成相应的【自启动配置文件】
ls -l /etc/systemd/system/multi-user.target.wants/
查看linux服务器开机自启动服务
systemctl list-unit-files | grep enabled

七：账户信息
查看UID为0的用户
awk -F: '$3==0 {print $1}' /etc/passwd
查看UID相同的用户，防止克隆的用户
awk -F: '{a[$3]++}END{for(i in a)if(a[i]>1)print i}' /etc/passwd
排查root用户外，查看root组下的用户，其实就是GID为0的用户
more /etc/group | grep -v '^#' | gawk -F: '{if ($1!="root"&&$3==0) print $1}'
查找可登录的用户
cat /etc/passwd | grep -E "/bin/bash$" | awk -F: '{print $1}'
可远程登录的账户信息
awk '/\$1|\$6/{print $1}' /etc/shadow
除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限
more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"
空口令用户
gawk -F: '($2=="") {print $1}' /etc/shadow
cat /etc/shadow

查找公钥文件
cat /root/.ssh/*.pub
cat /root/.ssh/authorized_keys

八：历史命令排查
通过.bash_history查看帐号执行过的系统命令
1、root的历史命令
histroy
2、打开/home各帐号目录下的.bash_history，查看普通帐号的历史命令
为历史的命令增加登录的IP地址、执行命令时间等信息：
1）保存1万条命令
sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile
2）在/etc/profile的文件尾部添加如下行数配置信息：
######jiagu history xianshi#########
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
shopt -s histappend
export PROMPT_COMMAND="history -a"
######### jiagu history xianshi ##########
3）source /etc/profile让配置生效
生成效果： 1 2018-07-10 19:45:39 192.168.204.1 root source /etc/profile
3、历史操作命令的清除：history -c
但此命令并不会清除保存在文件中的记录，因此需要手动删除.bash_profile文件中的记录。

九：系统日志排查
登录成功
more /var/log/secure* | grep "Accepted password"
登录成功的源IP 次数
grep "Accepted" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -n
登录失败
more /var/log/secure* | grep "Failed password"
登录失败的源IP 次数
grep "Failed" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -n
空口令登录
more /var/log/secure* | grep "Accepted none"
新增用户
more /var/log/secure* | grep "new user"

十：工具
WEBSHELL
河马webshell查杀：http://www.shellpub.com
深信服Webshell网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.html

病毒查杀 clamav ClamAV的官方下载地址为：http://www.clamav.net/download.html
#安装方式一
yum install -y clamav
#更新病毒库
freshclam
#扫描方法
clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log
clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log
clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log
#扫描并杀毒
clamscan -r --remove /usr/bin/bsd-port
clamscan -r --remove /usr/bin/
clamscan -r --remove /usr/local/zabbix/sbin
#查看日志发现
cat /root/usrclamav.log |grep FOUND

#安装方式二
1、安装zlib：
wget http://nchc.dl.sourceforge.net/project/libpng/zlib/1.2.7/zlib-1.2.7.tar.gz
tar -zxvf zlib-1.2.7.tar.gz
cd zlib-1.2.7
#安装一下gcc编译环境： yum install gcc
CFLAGS="-O3 -fPIC" ./configure --prefix= /usr/local/zlib/
make && make install
2、添加用户组clamav和组成员clamav：
groupadd clamav
useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav
3、安装Clamav
tar –zxvf clamav-0.97.6.tar.gz
cd clamav-0.97.6
./configure --prefix=/opt/clamav --disable-clamav -with-zlib=/usr/local/zlib
make
make install
4、配置Clamav
mkdir /opt/clamav/logs
mkdir /opt/clamav/updata
touch /opt/clamav/logs/freshclam.log
touch /opt/clamav/logs/clamd.log
cd /opt/clamav/logs
chown clamav:clamav clamd.log
chown clamav:clamav freshclam.log
5、ClamAV 使用：
/opt/clamav/bin/freshclam 升级病毒库
./clamscan –h 查看相应的帮助信息
./clamscan -r /home 扫描所有用户的主目录就使用
./clamscan -r --bell -i /bin 扫描bin目录并且显示有问题的文件的扫描结果