devbox
不正经
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

最后防线：Linux系统服务检测_[/usr/lib/systemd/system/mdcheck_start.timer:12] f

作者：不正经 | 2024-02-11 18:16:51

赞

踩

[/usr/lib/systemd/system/mdcheck_start.timer:12] failed to parse calendar sp

在主机入侵检测系统里，建立系统服务基线和检测系统服务进程行为，是检测恶意服务和恶意进程的关键。

只在使用systemd的Linux系统使用

建立系统服务基线

系统服务基线的建立，需要做的事情有如下几样：

  1. 获取所有安装的系统服务

  2. 获取当前系统运行级别

  3. 获取当前系统运行级别默认启动的服务

在主机入侵检测系统里，也可以通过system, popen, fork/execv之类的函数调用如下命令实现上面目的

  1. systemctl  list-unit-files --type=service   #获取所有安装的服务
  2. systemctl get-default #获取当前系统运行级别
  3. systemctl list-unit-files --type=service| grep enabled #获取所有默认启动的服务,不只是当前运行级别

调用命令却有如下风险：

  • 调用命令的隐患：任何一个命令在启动时，都要加载一大堆依赖的so，如果某些so不存在，命令是执行不了。如果命令执行完之后出现异常，成为僵尸进程，就会消耗大量系统句柄，导致后面一些业务进程无法启动。

  • 错误的处理：由于是调用命令，命令获取数据是否异常，无法得知，对这种错误无法处理，也会导致有大量无效数据。

按照Unix哲学”一切皆文件“，上面目的完全可以通过opendir/readdir/closedir, open/read/close, readlink/realpath之类的API来实现。

  • 获取所有安装的系统：systemd获取所有安装的系统服务，是按顺序遍历service文件。

  1. /etc/systemd/system
  2. /run/systemd/system
  3. /usr/local/lib/systemd/system
  4. /usr/lib/systemd/system

列举一下这些目录的内容：

  1. [root@bogon-agent ~]# ls /etc/systemd/system/*.service
  2. /etc/systemd/system/dbus-org.freedesktop.nm-dispatcher.service  /etc/systemd/system/display-manager.service  /etc/systemd/system/kibana.service  /etc/systemd/system/wazuh-agent.service
  3. [root@bogon-agent ~]# ls /run/systemd/system/*.service
  4. ls: cannot access /run/systemd/system/*.service: No such file or directory
  5. [root@bogon-agent ~]# ls /usr/local/lib/systemd/system/*.service
  6. ls: cannot access /usr/local/lib/systemd/system/*.service: No such file or directory
  7. [root@bogon-agent ~]# ls /usr/lib/systemd/system/*.service
  8. /usr/lib/systemd/system/abrt-ccpp.service                        /usr/lib/systemd/system/ipsec.service                                  /usr/lib/systemd/system/systemd-backlight@.service
  9. /usr/lib/systemd/system/abrtd.service                            /usr/lib/systemd/system/irqbalance.service                             /usr/lib/systemd/system/systemd-binfmt.service
  10. /usr/lib/systemd/system/abrt-oops.service                        /usr/lib/systemd/system/kdump.service                                  /usr/lib/systemd/system/systemd-bootchart.service
  11. /usr/lib/systemd/system/abrt-pstoreoops.service                  /usr/lib/systemd/system/kmod-static-nodes.service                      /usr/lib/systemd/system/systemd-firstboot.service
  12. /usr/lib/systemd/system/abrt-vmcore.service                      /usr/lib/systemd/system/lightdm.service                                /usr/lib/systemd/system/systemd-fsck-root.service
  13. /usr/lib/systemd/system/abrt-xorg.service                        /usr/lib/systemd/system/lvm2-lvmetad.service                           /usr/lib/systemd/system/systemd-fsck@.service
  14. /usr/lib/systemd/system/accounts-daemon.service                  /usr/lib/systemd/system/lvm2-lvmpolld.service                          /usr/lib/systemd/system/systemd-halt.service
  15. /usr/lib/systemd/system/alsa-restore.service                     /usr/lib/systemd/system/lvm2-monitor.service                           /usr/lib/systemd/system/systemd-hibernate-resume@.service
  16. /usr/lib/systemd/system/alsa-state.service                       /usr/lib/systemd/system/lvm2-pvscan@.service                           /usr/lib/systemd/system/systemd-hibernate.service
  17. /usr/lib/systemd/system/arp-ethers.service                       /usr/lib/systemd/system/mdadm-grow-continue@.service                   /usr/lib/systemd/system/systemd-hostnamed.service
  18. /usr/lib/systemd/system/atd.service                              /usr/lib/systemd/system/mdadm-last-resort@.service                     /usr/lib/systemd/system/systemd-hwdb-update.service
  19. /usr/lib/systemd/system/auditd.service                           /usr/lib/systemd/system/mdcheck_continue.service                       /usr/lib/systemd/system/systemd-hybrid-sleep.service
  20. /usr/lib/systemd/system/autovt@.service                          /usr/lib/systemd/system/mdcheck_start.service                          /usr/lib/systemd/system/systemd-importd.service
  21. /usr/lib/systemd/system/blk-availability.service                 /usr/lib/systemd/system/mdmonitor-oneshot.service                      /usr/lib/systemd/system/systemd-initctl.service
  22. /usr/lib/systemd/system/brandbot.service                         /usr/lib/systemd/system/mdmonitor.service                              /usr/lib/systemd/system/systemd-journal-catalog-update.service
  23. /usr/lib/systemd/system/canberra-system-bootup.service           /usr/lib/systemd/system/mdmon@.service                                 /usr/lib/systemd/system/systemd-journald.service
  24. /usr/lib/systemd/system/canberra-system-shutdown-reboot.service  /usr/lib/systemd/system/messagebus.service                             /usr/lib/systemd/system/systemd-journal-flush.service
  25. /usr/lib/systemd/system/canberra-system-shutdown.service         /usr/lib/systemd/system/microcode.service                              /usr/lib/systemd/system/systemd-kexec.service
  26. /usr/lib/systemd/system/chrony-dnssrv@.service                   /usr/lib/systemd/system/mongod.service                                 /usr/lib/systemd/system/systemd-localed.service
  27. /usr/lib/systemd/system/chronyd.service                          /usr/lib/systemd/system/multipathd.service                             /usr/lib/systemd/system/systemd-logind.service
  28. /usr/lib/systemd/system/chrony-wait.service                      /usr/lib/systemd/system/NetworkManager-dispatcher.service              /usr/lib/systemd/system/systemd-machined.service
  29. /usr/lib/systemd/system/clean-mount-point@.service               /usr/lib/systemd/system/NetworkManager.service                         /usr/lib/systemd/system/systemd-machine-id-commit.service
  30. /usr/lib/systemd/system/console-getty.service                    /usr/lib/systemd/system/NetworkManager-wait-online.service             /usr/lib/systemd/system/systemd-modules-load.service
  31. /usr/lib/systemd/system/console-shell.service                    /usr/lib/systemd/system/nginx.service                                  /usr/lib/systemd/system/systemd-nspawn@.service
  32. /usr/lib/systemd/system/containerd.service                       /usr/lib/systemd/system/openvpn-client@.service                        /usr/lib/systemd/system/systemd-poweroff.service
  33. /usr/lib/systemd/system/container-getty@.service                 /usr/lib/systemd/system/openvpn-server@.service                        /usr/lib/systemd/system/systemd-quotacheck.service
  34. /usr/lib/systemd/system/cpupower.service                         /usr/lib/systemd/system/openvpn@.service                               /usr/lib/systemd/system/systemd-random-seed.service
  35. /usr/lib/systemd/system/crond.service                            /usr/lib/systemd/system/plymouth-halt.service                          /usr/lib/systemd/system/systemd-readahead-collect.service
  36. /usr/lib/systemd/system/dbus-org.freedesktop.hostname1.service   /usr/lib/systemd/system/plymouth-kexec.service                         /usr/lib/systemd/system/systemd-readahead-done.service
  37. /usr/lib/systemd/system/dbus-org.freedesktop.import1.service     /usr/lib/systemd/system/plymouth-poweroff.service                      /usr/lib/systemd/system/systemd-readahead-drop.service
  38. /usr/lib/systemd/system/dbus-org.freedesktop.locale1.service     /usr/lib/systemd/system/plymouth-quit.service                          /usr/lib/systemd/system/systemd-readahead-replay.service
  39. /usr/lib/systemd/system/dbus-org.freedesktop.login1.service      /usr/lib/systemd/system/plymouth-quit-wait.service                     /usr/lib/systemd/system/systemd-reboot.service
  40. /usr/lib/systemd/system/dbus-org.freedesktop.machine1.service    /usr/lib/systemd/system/plymouth-read-write.service                    /usr/lib/systemd/system/systemd-remount-fs.service
  41. /usr/lib/systemd/system/dbus-org.freedesktop.timedate1.service   /usr/lib/systemd/system/plymouth-reboot.service                        /usr/lib/systemd/system/systemd-rfkill@.service
  42. /usr/lib/systemd/system/dbus.service                             /usr/lib/systemd/system/plymouth-start.service                         /usr/lib/systemd/system/systemd-shutdownd.service
  43. /usr/lib/systemd/system/debug-shell.service                      /usr/lib/systemd/system/plymouth-switch-root.service                   /usr/lib/systemd/system/systemd-suspend.service
  44. /usr/lib/systemd/system/dm-event.service                         /usr/lib/systemd/system/polkit.service                                 /usr/lib/systemd/system/systemd-sysctl.service
  45. /usr/lib/systemd/system/docker.service                           /usr/lib/systemd/system/postfix.service                                /usr/lib/systemd/system/systemd-timedated.service
  46. /usr/lib/systemd/system/dracut-cmdline.service                   /usr/lib/systemd/system/quotaon.service                                /usr/lib/systemd/system/systemd-tmpfiles-clean.service
  47. /usr/lib/systemd/system/dracut-initqueue.service                 /usr/lib/systemd/system/rc-local.service                               /usr/lib/systemd/system/systemd-tmpfiles-setup-dev.service
  48. /usr/lib/systemd/system/dracut-mount.service                     /usr/lib/systemd/system/rdisc.service                                  /usr/lib/systemd/system/systemd-tmpfiles-setup.service
  49. /usr/lib/systemd/system/dracut-pre-mount.service                 /usr/lib/systemd/system/redis-sentinel.service                         /usr/lib/systemd/system/systemd-udevd.service
  50. /usr/lib/systemd/system/dracut-pre-pivot.service                 /usr/lib/systemd/system/redis.service                                  /usr/lib/systemd/system/systemd-udev-settle.service
  51. /usr/lib/systemd/system/dracut-pre-trigger.service               /usr/lib/systemd/system/rescue.service                                 /usr/lib/systemd/system/systemd-udev-trigger.service
  52. /usr/lib/systemd/system/dracut-pre-udev.service                  /usr/lib/systemd/system/rhel-autorelabel-mark.service                  /usr/lib/systemd/system/systemd-update-done.service
  53. /usr/lib/systemd/system/dracut-shutdown.service                  /usr/lib/systemd/system/rhel-autorelabel.service                       /usr/lib/systemd/system/systemd-update-utmp-runlevel.service
  54. /usr/lib/systemd/system/ebtables.service                         /usr/lib/systemd/system/rhel-configure.service                         /usr/lib/systemd/system/systemd-update-utmp.service
  55. /usr/lib/systemd/system/elasticsearch.service                    /usr/lib/systemd/system/rhel-dmesg.service                             /usr/lib/systemd/system/systemd-user-sessions.service
  56. /usr/lib/systemd/system/emergency.service                        /usr/lib/systemd/system/rhel-domainname.service                        /usr/lib/systemd/system/systemd-vconsole-setup.service
  57. /usr/lib/systemd/system/firewalld.service                        /usr/lib/systemd/system/rhel-import-state.service                      /usr/lib/systemd/system/tcsd.service
  58. /usr/lib/systemd/system/flatpak-system-helper.service            /usr/lib/systemd/system/rhel-loadmodules.service                       /usr/lib/systemd/system/teamd@.service
  59. /usr/lib/systemd/system/fstrim.service                           /usr/lib/systemd/system/rhel-readonly.service                          /usr/lib/systemd/system/trace-cmd.service
  60. /usr/lib/systemd/system/geoclue.service                          /usr/lib/systemd/system/rsyslog.service                                /usr/lib/systemd/system/tuned.service
  61. /usr/lib/systemd/system/getty@.service                           /usr/lib/systemd/system/selinux-policy-migrate-local-changes@.service  /usr/lib/systemd/system/udisks2.service
  62. /usr/lib/systemd/system/halt-local.service                       /usr/lib/systemd/system/serial-getty@.service                          /usr/lib/systemd/system/unbound-anchor.service
  63. /usr/lib/systemd/system/initrd-cleanup.service                   /usr/lib/systemd/system/sshd-keygen.service                            /usr/lib/systemd/system/upower.service
  64. /usr/lib/systemd/system/initrd-parse-etc.service                 /usr/lib/systemd/system/sshd.service                                   /usr/lib/systemd/system/usbmuxd.service
  65. /usr/lib/systemd/system/initrd-switch-root.service               /usr/lib/systemd/system/sshd@.service                                  /usr/lib/systemd/system/vgauthd.service
  66. /usr/lib/systemd/system/initrd-udevadm-cleanup-db.service        /usr/lib/systemd/system/svnserve.service                               /usr/lib/systemd/system/vmtoolsd.service
  67. /usr/lib/systemd/system/iprdump.service                          /usr/lib/systemd/system/systemd-ask-password-console.service           /usr/lib/systemd/system/wacom-inputattach@.service
  68. /usr/lib/systemd/system/iprinit.service                          /usr/lib/systemd/system/systemd-ask-password-plymouth.service          /usr/lib/systemd/system/wpa_supplicant.service
  69. /usr/lib/systemd/system/iprupdate.service                        /usr/lib/systemd/system/systemd-ask-password-wall.service              /usr/lib/systemd/system/xl2tpd.service

  • 获取当前系统运行级别：systemd是通过软链接获取真实的运行级别，优先级由上到下

    1. /etc/systemd/system/default.target
    2. /run/systemd/system/default.target
    3. /usr/local/lib/systemd/system/default.target
    4. /usr/lib/systemd/system/default.target

    通过systemctl获取当前系统级别

    1. [root@bogon-agent ~]# systemctl get-default
    2. multi-user.target

    通过软链接获取当前系统级别，可见结果是相符的，而且优先级确实如上所述

    1. [root@bogon-agent ~]# ls -l /etc/systemd/system/default.target 
    2. lrwxrwxrwx. 1 root root 41 Mar 31  2020 /etc/systemd/system/default.target -> /usr/lib/systemd/system/multi-user.target
    3. [root@bogon-agent ~]# ls -l /usr/lib/systemd/system/default.target
    4. lrwxrwxrwx. 1 root root 16 Nov 27 17:11 /usr/lib/systemd/system/default.target -> graphical.target

  • 获取当前系统运行级别默认启动的服务：采用下面步骤，可以获取精确的结果

    1. root@bogon-agent ~]# cat /etc/systemd/system/default.target
    2. #  This file is part of systemd.
    3. #
    4. #  systemd is free software; you can redistribute it and/or modify it
    5. #  under the terms of the GNU Lesser General Public License as published by
    6. #  the Free Software Foundation; either version 2.1 of the License, or
    7. #  (at your option) any later version.
    8.  
    9. [Unit]
    10. Description=Multi-User System
    11. Documentation=man:systemd.special(7)
    12. Requires=basic.target      
    13. Conflicts=rescue.service rescue.target
    14. After=basic.target rescue.service rescue.target
    15. AllowIsolate=yes

    1. 获取实际target文件对应的target.wants目录，如目前是multi-user.target，那么相应目录是multi-user.target.wants。这些目录里软链接指向的service文件，就是默认启动的系统服务。

      1. root@bogon-agent ~]# ls -l /etc/systemd/system/multi-user.target.wants/
      2. total 0
      3. lrwxrwxrwx. 1 root root 41 Sep 30  2019 abrt-ccpp.service -> /usr/lib/systemd/system/abrt-ccpp.service
      4. lrwxrwxrwx. 1 root root 43 Sep 30  2019 abrt-vmcore.service -> /usr/lib/systemd/system/abrt-vmcore.service
      5. lrwxrwxrwx. 1 root root 38 Feb  3 17:46 docker.service -> /usr/lib/systemd/system/docker.service
      6. lrwxrwxrwx. 1 root root 42 Sep 30  2019 irqbalance.service -> /usr/lib/systemd/system/irqbalance.service
      7. lrwxrwxrwx. 1 root root 37 Sep 30  2019 kdump.service -> /usr/lib/systemd/system/kdump.service
      8. lrwxrwxrwx. 1 root root 41 Sep 30  2019 mdmonitor.service -> /usr/lib/systemd/system/mdmonitor.service
      9. lrwxrwxrwx. 1 root root 46 Sep 30  2019 NetworkManager.service -> /usr/lib/systemd/system/NetworkManager.service
      10. lrwxrwxrwx. 1 root root 39 Jun 17  2020 postfix.service -> /usr/lib/systemd/system/postfix.service
      11. lrwxrwxrwx. 1 root root 40 Sep 30  2019 remote-fs.target -> /usr/lib/systemd/system/remote-fs.target
      12. lrwxrwxrwx. 1 root root 46 Sep 30  2019 rhel-configure.service -> /usr/lib/systemd/system/rhel-configure.service
      13. lrwxrwxrwx. 1 root root 39 Sep 30  2019 rsyslog.service -> /usr/lib/systemd/system/rsyslog.service
      14. lrwxrwxrwx. 1 root root 36 Sep 30  2019 sshd.service -> /usr/lib/systemd/system/sshd.service
      15. lrwxrwxrwx. 1 root root 37 Sep 30  2019 tuned.service -> /usr/lib/systemd/system/tuned.service
      16. lrwxrwxrwx. 1 root root 40 Sep 30  2019 vmtoolsd.service -> /usr/lib/systemd/system/vmtoolsd.service
      17. lrwxrwxrwx. 1 root root 39 Apr 22  2020 wazuh-agent.service -> /etc/systemd/system/wazuh-agent.service
      18. [root@bogon-agent ~]# ls -l /usr/lib/systemd/system/multi-user.target.wants/
      19. total 0
      20. lrwxrwxrwx. 1 root root 15 Nov 27 17:11 dbus.service -> ../dbus.service
      21. lrwxrwxrwx. 1 root root 15 Nov 27 17:11 getty.target -> ../getty.target
      22. lrwxrwxrwx. 1 root root 24 Nov 27 17:11 plymouth-quit.service -> ../plymouth-quit.service
      23. lrwxrwxrwx. 1 root root 29 Nov 27 17:11 plymouth-quit-wait.service -> ../plymouth-quit-wait.service
      24. lrwxrwxrwx. 1 root root 33 Nov 27 17:11 systemd-ask-password-wall.path -> ../systemd-ask-password-wall.path
      25. lrwxrwxrwx. 1 root root 25 Nov 27 17:11 systemd-logind.service -> ../systemd-logind.service
      26. lrwxrwxrwx. 1 root root 39 Nov 27 17:11 systemd-update-utmp-runlevel.service -> ../systemd-update-utmp-runlevel.service
      27. lrwxrwxrwx. 1 root root 32 Nov 27 17:11 systemd-user-sessions.service -> ../systemd-user-sessions.service

    2. 根据target文件内容，找出它所依赖的其它target，不断重复第1，2步，直到获取所有的service文件（看Requires和Wants字段）

检测系统服务进程行为

在建立服务基线后，就需要获取服务的动态情况，就是要看有多少服务在运行，每个服务下面有多少进程在运行。而且获取动作要定时执行，和上一次结果进行比对，从而发现异常。

 

剩余内容请关注本人公众号debugeeker, 链接为最后防线：Linux系统服务检测

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/不正经/article/detail/76477
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号