目錄

?侵排查思路

?、賬號安全

????????基本使?：

who 查看當前登錄?戶（tty本地登陸 pts遠程登錄）

w 查看系統信息，想知道某?時刻?戶的?為

uptime 查看登陸多久、多少?戶，負載

?侵排查

?、歷史命令

基本使?：

?侵排查：

三、端?

四、進程

??志分析技巧：

---

?侵排查思路

?、賬號安全

????????基本使?：

1、?戶信息?件

cat /etc/passwd root:x:0:0:root:/root:/bin/bash account:password:UID:GID:GECOS:directory:shell ?戶名：密碼：?戶ID：組ID：?戶說明：家?錄：登陸之后shell 注意：?密碼只允許本機登陸，遠程不允許登陸

?2、影??件

cat /etc/shadow root:$6$oGs1PqhL2p3ZetrE$X7o7bzoouHQVSEmSgsYN5UD4.kMHx6qgbTqwNVC5oOAouXvcjQSt.Ft7ql1Wpk opY0UV9ajBwUt1DpYxTCVvI/:16809:0:99999:7::: ?戶名：加密密碼：密碼最后?次修改?期：兩次密碼的修改時間間隔：密碼有效期：密碼修改到期到的警告天數：密 碼過期之后的寬限天數：賬號失效時間：保留

who 查看當前登錄?戶（tty本地登陸 pts遠程登錄）

w 查看系統信息，想知道某?時刻?戶的?為

USER：顯示登陸?戶帳號名。?戶重復登陸，該帳號也會重復出現。 TTY：?戶登陸所?的終端。 FROM：顯示?戶在何處登陸系統。 LOGIN@：是LOGIN AT的意思，表示登陸進?系統的時間。 IDLE：?戶空閑時間，從?戶上?次任務結束后，開會記時。 JCPU：?終端代號來區分，表示在摸段時間內，所有與該終端相關的進程任務所耗費的CPU時間。 PCPU：指WHAT域的任務執?后耗費的CPU時間。 WHAT：表示當前執?的任務。

uptime 查看登陸多久、多少?戶，負載

04:03:58?up ????????10 days, 13:19, ????????1 user, load average: ????????0.54, 0.40, 0.20

當前時間 04:03:58 系統已運?的時間 10 days, 13:19 當前在線?戶 1 user 平均負載：0.54, 0.40, 0.20，最近1分鐘、5分鐘、15分鐘系統的負載

?侵排查

1、查詢特權?戶特權?戶(uid 為0)

awk -F: '$3==0{print $1}' /etc/passwd

2、查詢可以遠程登錄的帳號信息

awk '/\$1|\$6/{print $1}' /etc/shadow

3、除root帳號外，其他帳號是否存在sudo權限。如?管理需要，普通帳號應刪除sudo權限

more /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)"

?、歷史命令

基本使?：

????????通過.bash_history查看帳號執?過的系統命令

1、root的歷史命令

history

打開/home各帳號?錄下的.bash_history，查看普通帳號的歷史命令 為歷史的命令增加登錄的IP地址、執?命令時間等信息：

1)保存1萬條命令

vim /etc/profile sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g'

2)######jiagu history xianshi######### USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'` if [ "$USER_IP" = "" ] then USER_IP=`hostname` fi export HISTTIMEFORMAT="%F %T $USER_IP `whoami` " shopt -s histappend export PROMPT_COMMAND="history -a" ######### jiagu history xianshi ##########

######jiagu history xianshi######### USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'` if [ "$USER_IP" = "" ] then USER_IP=`hostname` fi export HISTTIMEFORMAT="%F %T $USER_IP `whoami` " shopt -s histappend export PROMPT_COMMAND="history -a" ######### jiagu history xianshi ##########

3）source /etc/profile讓配置?效

3、歷史操作命令的清除：history -c 但此命令并不會清除保存在?件中的記錄，因此需要?動刪除.bash_profile?件中的記錄。

?侵排查：

進??戶?錄下

cat .bash_history >> history.txt

三、端?

使?netstat ?絡連接命令，分析可疑端?、IP、PID

netstat -antlp|more

查看下pid所對應的進程?件路徑， 運?

ls -l /proc/$PID/exe 或 file /proc/$PID/exe（$PID 為對應的pid 號）

四、進程

使?ps命令，分析進程

ps aux | grep pid號

系統?志

?????????志默認存放位置：

/var/log/

????????查看?志配置情況：

more /etc/rsyslog.conf

日志文件	說明
/var/log/cron	記錄了系統定時任務相關的?志
/var/log/cups	記錄打印信息的?志
/var/log/dmesg	記錄了系統在開機時內核?檢的信息，也可以使?dmesg命令直接查看內核?檢信息
/var/log/mailog	記錄郵件信息
/var/log/message	記錄系統重要信息的?志。這個?志?件中會記錄Linux系統的絕?多數重要信息，如 果系統出現問題時，?先要檢查的就應該是這個?志?件
/var/log/btmp	記錄錯誤登錄?志，這個?件是?進制?件，不能直接vi查看，?要使?lastb命令查 看
/var/log/lastlog	記錄系統中所有?戶最后?次登錄時間的?志，這個?件是?進制?件，不能直接vi， ?要使?lastlog命令查看
/var/log/wtmp	永久記錄所有?戶的登錄、注銷信息，同時記錄系統的啟動、重啟、關機事件。同樣 這個?件也是?個?進制?件，不能直接vi，?需要使?last命令來查看
/var/log/utmp	記錄當前已經登錄的?戶信息，這個?件會隨著?戶的登錄和注銷不斷變化，只記錄 當前登錄?戶的信息。同樣這個?件不能直接vi，?要使?w,who,users等命令來查詢
/var/log/secure	記錄驗證和授權??的信息，只要涉及賬號和密碼的程序都會記錄，?如SSH登錄， su切換?戶，sudo授權，甚?添加?戶和修改?戶密碼都會記錄在這個?志?件中

??志分析技巧：

1、定位有多少IP在爆破主機的root帳號：

grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

定位有哪些IP在爆破：

grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0- 9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\. (25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

爆破?戶名字典是什么？

grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

2、登錄成功的IP有哪些：

grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

登錄成功的?期、?戶名、IP：

grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

3、增加?個?戶kali?志

總結

以上是生活随笔為你收集整理的Linux⼊侵排查的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。