应急响应基础 - Linux_linxux初级应急响应

应急响应基础 - Linux

• 关键目录

• 常用命令

• 日志分析

• 应急工具

关键目录：

常用命令：

排查启动项：

cat /etc/rc.local 
cat /etc/init.d
ls -alt /etc/profile.d/*.sh //该目录下的.sh文件可以直接被运行

查看定时任务：

cat /etc/passwd | cut -f 1-d : | xargs -l {} crontab -l -u {}     //查看所有用户的计划任务
//计划任务可能存在的文件夹和文件
ls -altr /var/spool/cron/*
more /etc/crontab
more /etc/cron.d/*
more /etc/cron.daily/*
more /etc/cron.hourly/*
more /etc/cron.monthly/*
more /etc/cron.weekly/
more /etc/anacrontab
more /var/spool/anacron/*

校验RPM软件包：

rpm -Va 
dpkg -verify
​
S:表示对应文件的大小不一致
M:表示对应文件权限和所有权不一致
5:表示对应文件的MD5值不一致
D:表示文件的设备号和驱动程序不一致
L:表示文件的符号连接内容不一致
U:表示文件所有者不一致
G:表示文件的群组不一致
T:表示文件的修改时间不一致

查找隐藏进程：

ps -ef | awk '{print $2}' | sort -n | uniq > ps.p //打印进程，awk过滤，导入ps.p
ls /porc | sort -n | uniq > porc.p      //把所有进程文件的文件号导入porc.p
diff ps.p porc.p    //比较文件

Linux日志分析

• Linux日志类型大致可以分为三类，内核和系统日志、用户日志、应用日志

• 内核和系统日志：这种日志主要由syslog管理、根据配置文件/etc/syslog.conf中的设置决定内核消息和各种系统程序信息记录到哪个位置

• 用户日志：用户日志主要记录系统用户登录或者退出的信息，包括用户名账号、登录时间、源IP等

• 应用日志：记录应用程序运行过程中的各种事件信息

日志分析 - secure日志

Apr 17 10:25:37 VM-0-17-centos sshd[18083]: Acceted publickey for root from 45.79.126.79 port 5729 ssh2: RSA SHA256:av1LZEMVmLIn1gDyaaMc8LWygx6KGLzjRa57Zvx7+ac
​
- Apr 17 10:25:37：事件发生的日期和时间，以月、日、小时和分钟的格式表示
- VM-0-17-centos：事件发生的机器的主机名
- sshd[18083]：服务的名称（sshd）和与事件相关的进程ID（18083）
- Acceted publickey：公钥身份验证成功 
- for root：验证的用户账户是root
- from 45.79.126.79 port 5729 ssh2：来自IP地址45.79.126.79且SSH连接的端口是5729
​
- Failed password for root：密码身份验证失败，尝试验证root用户的密码

查找每个IP地址的失败登录次数：

sudo awk '/sshd.*Failed/ {print $(NF-3)}' /var/log/secure | sort | uniq -c | sort -nr

查找特定IP地址的失败登录：

sudo grep "sshd.*Failed.*from <IP_ADDRESS>" /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

查找特定IP地址的成功登录：

sudo grep "sshd.*Accepted.*from <IP ADDRESS>" /var/log/secure | awk '{print $1,$2.$3,$9,$11}'

应急工具

① -- Busybox

• 一款集成了三百多个最常用Linux命令的工具集

• 官网：https://busybox.net/

• 属于静态链接库

• 当入侵者将系统命令进行了恶意替换之后，可以使用Busybox来进行命令操作

  //先将busybox赋予可执行权限
  $ ./busybox [系统命令]
  例如：$ ./busybox netstat -antpl
  

② -- unhide

• 一款检测发现那些借助rootkit及其他技术隐藏的进程和TCP/UDP端口的命令行工具

• 可以使用yum和apt直接安装

③ -- chkrootkit

• chkrootkit是一个Linux下检测rootkit的脚本

• 官网：chkrootkit -- locally checks for signs of a rootkit

④ -- rkhunter

• rkhunter是一个Linux下检测rootkit的脚本

• 可使用yum下载

⑤ -- clamav

• 一款用于检测木马、病毒、恶意软件和其他恶意威胁的开源防病毒引擎

• 官网下载：ClamAVNet

• 安装后需要修改配置文件

• 需要配合防病毒引擎使用

⑥ -- webshell查杀

1. 河马webshell查杀工具

   • 官网：SHELLPUB.COM 专注查杀，永久免费

2. 内存马查杀工具

   • 下载：https://github.com/c0ny1/java-memshell-scanner