没有合适的资源？快使用搜索试试~ 我知道了~

文库首页安全技术网络安全【应急响应】Linux入侵排查思路

【应急响应】Linux入侵排查思路

网络安全

应急响应

linux

入侵排查

需积分: 48 14 下载量 6 浏览量 2022-09-18 12:29:03 上传评论 6 收藏 3.33MB PDF 举报

温馨提示

试读

44页

【应急响应】Linux入侵排查思路: 当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些 Linux 服务器入侵排查的思路。

资源详情

资源评论

【应急响应】Linux 入侵排查思路

0x00 前言

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件

时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢

复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解

决方案与防范措施，为企业挽回或减少经济损失。

针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，

总结了一些 Linux 服务器入侵排查的思路。

0x01 入侵排查思路

一、账号安全

基本使用：

1、用户信息文件

/etc/passwd

root:x:0:0:root:/root:/bin/bash

account:password:UID:GID:GECOS:directory:shell

用户名：密码：用户 ID：组 ID：用户说明：家目录：登录之后 shell

注意：无密码只允许本机登录，远程不允许登录

2、影子文件

/etc/shadow

root:$6$ErqYGq96DuNrHTG8$FOhMPdmVOk4Ej44Fey/ijOiFRUw9/Itr2O

Q9Xe29X47ltq2i6rRlmZquARP4yc9ZCV1roaGebTZtF6LtOCxeI/:18649:

0:99999:7:::

用户名：加密密码：密码最后一次修改日期：两次密码的修改时间间

隔：密码有效期：密码修改

到期到的警告天数：密码过期之后的宽限天数：账号失效时间：保留

who Linux who 命令用于显示系统中有哪些使用者正在上面，

显示的资料包含了使用者 ID、使用的终端机、从哪边连上来的、上

线时间、呆滞时间、CPU 使用量、动作等等。

使用权限：所有使用者都可使用。

查看当前登录用户（tty 本地登录 pts 远程登录）

w Linux w 命令用于显示目前登入系统的用户信息。执行

这项指令可得知目前登入系统的用户有哪些人，以及他们正在执行的

程序。单独执行 w 指令会显示所有的用户，您也可指定用户名称，

仅显示某位用户的相关信息。

查看系统信息，想知道某一时刻用户的行为

uptime Linux 系统中的 uptime 命令主要用于获取主机运行时间

和查询 Linux 系统负载等信息。uptime 命令可以显示系统已经运行

了多长时间，信息显示依次为：现在时间、系统已经运行了多长时间、

目前有多少登录用户、系统在过去的 1 分钟、5 分钟和 15 分钟内的

平均负载。 uptime 命令用法十分简单，直接输入 uptime 即可查看

系统负载情况。

查看登录多久、多少用户，负载

入侵排查：

1、查询特权用户特权用户(uid 为 0)

[root@localhost ~]# awk -F: '{if($3==0)print $1}'

/etc/passwd

2、查询可以远程登录的帐号信息

[root@localhost ~]# cat /etc/passwd | grep '/bin/bash'

[root@localhost ~]# cat /etc/passwd | ag '/bin/bash'

3、除 root 帐号外，其他帐号是否存在 sudo 权限。如非管理需要，

普通帐号应删除 sudo 权限

[root@localhost ~]# cat /etc/sudoers | grep -v "^#\|^$" |

grep "ALL=(ALL)"

[root@localhost ~]# cat /etc/sudoers | ag -v '#' | sed -e

'/^$/d' | ag ALL

4、禁用或删除多余及可疑的帐号

usermod -L user 禁用帐号，帐号无法登录，/etc/shadow 第二

栏为!开头

userdel user 删除 user 用户

userdel -r user 将删除 user 用户，并且将/home 目录下的

user 目录一并删除

5、显示系统中有哪些使用者正在上面，显示的资料包含了使用者 ID、

使用的终端机、从哪边连上来的、上线时间、待滞时间、CPU 使用量、

动作等等。

[root@localhost ~]# who -H

6、显示目前登入系统的用户信息。执行这项指令可得知目前登入系

统的用户有哪些人，以及他们正在执行的程序。

[root@localhost ~]# w

7、显示用户最近登录信息。

[root@localhost ~]# last -n 20 -a -i

8、检查某特定用户上次登录的时间，并格式化输出上次登录日志

/var/log/lastlog 的内容。它根据 UID 排序显示登录名、端口号（tty）

和上次登录时间。如果一个用户从未登录过，lastlog 显示 Never

logged。注意需要以 root 身份运行该命令。

[root@localhost ~]# lastlog | grep -v "Never"

[root@localhost ~]# lastlog | ag -v 'Never'

9、服务器登录 IP 地址。

[root@localhost ~]# grep -a Accepted /var/log/secure

/var/log/auth.* 2>/dev/null | grep -Eo '([0-9]+\.){3}[0-9]+'

| sort | uniq

[root@localhost ~]# ag -a Accepted /var/log/secure

/var/log/auth.* 2>/dev/null | ag -o '\d+\.\d+\.\d+\.\d+' |

sort | uniq

10、SSH 暴破的 IP 地址列表。

[root@localhost ~]# grep -a 'authentication failure'

/var/log/secure* | awk '{print $14}' | awk -F '=' '{print

$2}' | grep -Eo '([0-9]+\.){3}[0-9]+' | sort | uniq -c | sort

剩余43页未读，继续阅读

评论收藏

内容反馈

【应急响应】Linux入侵排查思路

评论0

最新资源

【应急响应】Linux入侵排查思路

评论0

最新资源

相关推荐

Linux 应急响应流程及实战演练.docx

Linux 应急响应入门——入侵排查.doc

记一次linux服务器入侵应急响应(小结)

linux 入侵排查工具

各种网络问题排查思路

用于Linux应急响应，快速排查异常用户登录情况和入侵信息排查.zip

Linux应急响应辅助排查脚本

Linux应急响应排查基础.zip

应急响应-攻击入侵排查 教学PPT

Linux应急响应流程及实战演练.docx

Linux服务器故障排查实用指南

应急响应实战笔记.rar

入侵类问题排查思路.pdf

应急响应-linux入侵排查.md

Linxu环境黑客入侵应急与排查.doc

Linux操作系统安全及入侵排查

Linux应急响应流程及实战演练

一个Linux下的入侵响应案例.pdf

应急响应工具集及应急响应实战笔记.zip

windows&linux&web安全应急响应实战笔记

[ 应急响应 ] 应急响应实战笔记_2020最新版.rar

应急响应实战checklist.pdf

应急响应学习资料包.zip

应急响应，从懵逼到入门.pdf

linux aarch64架构libreoffice安装包

RocketMQ 可视化工具 Dashboard下载

openssh-server离线安装包

Linux系统下Qt5.12.10.run安装包

VisualGDB 5.6 R9//支持VS2008-VS2022

应急响应-攻击入侵排查教学PPT