|
|
51CTO旗下网站
|
|
移动端

11个步骤完美排查Linux机器是否已经被入侵

随着开源产品的越来越盛行,作为一个Linux运维工程师,能够清晰地鉴别异常机器是否已经被入侵了显得至关重要,个人结合自己的工作经历,整理了几种常见的机器被黑情况供参考。

作者:铭的随记来源:铭的随记|2020-05-27 10:57

随着开源产品的越来越盛行,作为一个Linux运维工程师,能够清晰地鉴别异常机器是否已经被入侵了显得至关重要,个人结合自己的工作经历,整理了几种常见的机器被黑情况供参考。

背景信息:以下情况是在CentOS 6.9的系统中查看的,其它Linux发行版类似。

1. 入侵者可能会删除机器的日志信息

可以查看日志信息是否还存在或者是否被清空,相关命令示例:

  1. [root@hlmcen69n3 ~]# ll -h /var/log/* 
  2.  
  3. -rw-------. 1 root root 2.6K Jul  7 18:31 /var/log/anaconda.ifcfg.log 
  4.  
  5. -rw-------. 1 root root  23K Jul  7 18:31 /var/log/anaconda.log 
  6.  
  7. -rw-------. 1 root root  26K Jul  7 18:31 /var/log/anaconda.program.log 
  8.  
  9. -rw-------. 1 root root  63K Jul  7 18:31 /var/log/anaconda.storage.log 
  10.  
  11.   
  12.  
  13. [root@hlmcen69n3 ~]# du -sh /var/log/* 
  14.  
  15. 8.0K /var/log/anaconda 
  16.  
  17. 4.0K /var/log/anaconda.ifcfg.log 
  18.  
  19. 24K  /var/log/anaconda.log 
  20.  
  21. 28K  /var/log/anaconda.program.log 
  22.  
  23. 64K  /var/log/anaconda.storage.log 

2. 入侵者可能创建一个新的存放用户名及密码文件

可以查看/etc/passwd及/etc/shadow文件,相关命令示例:

  1. [root@hlmcen69n3 ~]# ll /etc/pass* 
  2.  
  3. -rw-r--r--. 1 root root 1373 Sep 15 11:36 /etc/passwd 
  4.  
  5. -rw-r--r--. 1 root root 1373 Sep 15 11:36 /etc/passwd- 
  6.  
  7.   
  8.  
  9. [root@hlmcen69n3 ~]# ll /etc/sha* 
  10.  
  11. ----------. 1 root root 816 Sep 15 11:36 /etc/shadow 
  12.  
  13. ----------. 1 root root 718 Sep 15 11:36 /etc/shadow- 

3. 入侵者可能修改用户名及密码文件

可以查看/etc/passwd及/etc/shadow文件内容进行鉴别,相关命令示例:

  1. [root@hlmcen69n3 ~]# more /etc/passwd 
  2.  
  3. root:x:0:0:root:/root:/bin/bash 
  4.  
  5. bin:x:1:1:bin:/bin:/sbin/nologin 
  6.  
  7. daemon:x:2:2:daemon:/sbin:/sbin/nologin 
  8.  
  9.   
  10.  
  11. [root@hlmcen69n3 ~]# more /etc/shadow 
  12.  
  13. root:*LOCK*:14600:::::: 
  14.  
  15. bin:*:17246:0:99999:7::: 
  16.  
  17. daemon:*:17246:0:99999:7::: 

4. 查看机器最近成功登陆的事件和最后一次不成功的登陆事件

对应日志“/var/log/lastlog”,相关命令示例:

  1. [root@hlmcen69n3 ~]# lastlog 
  2.  
  3. Username         Port     From             Latest 
  4.  
  5. root                                       **Never logged in** 
  6.  
  7. bin                                        **Never logged in** 
  8.  
  9. daemon                                     **Never logged in** 
  10. 复制代码 

5. 查看机器当前登录的全部用户

对应日志文件“/var/run/utmp”,相关命令示例:

  1. [root@hlmcen69n3 ~]# who 
  2.  
  3. stone    pts/0        2017-09-20 16:17 (X.X.X.X) 
  4.  
  5. test01   pts/2        2017-09-20 16:47 (X.X.X.X) 

6. 查看机器创建以来登陆过的用户

对应日志文件“/var/log/wtmp”,相关命令示例:

  1. [root@hlmcen69n3 ~]# last 
  2.  
  3. test01   pts/1        X.X.X.X   Wed Sep 20 16:50   still logged in   
  4.  
  5. test01   pts/2        X.X.X.X   Wed Sep 20 16:47 - 16:49  (00:02)    
  6.  
  7. stone    pts/1        X.X.X.X   Wed Sep 20 16:46 - 16:47  (00:01)    
  8.  
  9. stone    pts/0        X.X.X.X   Wed Sep 20 16:17   still logged in 

7. 查看机器所有用户的连接时间(小时)

对应日志文件“/var/log/wtmp”,相关命令示例:

  1. [root@hlmcen69n3 ~]# ac -dp 
  2.  
  3.          stone                               11.98 
  4.  
  5. Sep 15      total       11.98 
  6.  
  7.          stone                               67.06 
  8.  
  9. Sep 18      total       67.06 
  10.  
  11.          stone                                1.27 
  12.  
  13.          test01                               0.24 
  14.  
  15. Today        total        1.50 

8. 如果发现机器产生了异常流量

可以使用命令“tcpdump”抓取网络包查看流量情况或者使用工具”iperf”查看流量情况

9. 可以查看/var/log/secure日志文件

尝试发现入侵者的信息,相关命令示例:

  1. [root@hlmcen69n3 ~]# cat /var/log/secure | grep -i "accepted password" 
  2.  
  3. Sep 20 12:47:20 hlmcen69n3 sshd[37193]: Accepted password for stone from X.X.X.X port 15898 ssh2 
  4.  
  5. Sep 20 16:17:47 hlmcen69n3 sshd[38206]: Accepted password for stone from X.X.X.X port 9140 ssh2 
  6.  
  7. Sep 20 16:46:00 hlmcen69n3 sshd[38511]: Accepted password for stone from X.X.X.X port 2540 ssh2 
  8.  
  9. Sep 20 16:47:16 hlmcen69n3 sshd[38605]: Accepted password for test01 from X.X.X.X port 10790 ssh2 
  10.  
  11. Sep 20 16:50:04 hlmcen69n3 sshd[38652]: Accepted password for test01 from X.X.X.X port 28956 ssh2 

10. 查询异常进程所对应的执行脚本文件

a.top命令查看异常进程对应的PID

b.在虚拟文件系统目录查找该进程的可执行文件

  1. [root@hlmcen69n3 ~]# ll /proc/1850/ | grep -i exe 
  2.  
  3. lrwxrwxrwx. 1 root root 0 Sep 15 12:31 exe -> /usr/bin/python 
  4.  
  5.   
  6.  
  7. [root@hlmcen69n3 ~]# ll /usr/bin/python 
  8.  
  9. -rwxr-xr-x. 2 root root 9032 Aug 18  2016 /usr/bin/python 

11.如果确认机器已经被入侵,重要文件已经被删除,可以尝试找回被删除的文件

(1) 当进程打开了某个文件时,只要该进程保持打开该文件,即使将其删除,它依然存在于磁盘中。这意味着,进程并不知道文件已经被删除,它仍然可以向打开该文件时提供给它的文件描述符进行读取和写入。除了该进程之外,这个文件是不可见的,因为已经删除了其相应的目录索引节点。

(2) 在/proc 目录下,其中包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块区域,所以这些文件和目录并不存在于磁盘中,因此当我们对这些文件进行读取和写入时,实际上是在从内存中获取相关信息。大多数与 lsof 相关的信息都存储于以进程的 PID 命名的目录中,即 /proc/1234 中包含的是 PID 为 1234 的进程的信息。每个进程目录中存在着各种文件,它们可以使得应用程序简单地了解进程的内存空间、文件描述符列表、指向磁盘上的文件的符号链接和其他系统信息。lsof 程序使用该信息和其他关于内核内部状态的信息来产生其输出。所以lsof 可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。

(3) 当系统中的某个文件被意外地删除了,只要这个时候系统中还有进程正在访问该文件,那么我们就可以通过lsof从/proc目录下恢复该文件的内容。

假设入侵者将/var/log/secure文件删除掉了,尝试将/var/log/secure文件恢复的方法可以参考如下:

a. 查看/var/log/secure文件,发现已经没有该文件

  1. [root@hlmcen69n3 ~]# ll /var/log/secure 
  2.  
  3. ls: cannot access /var/log/secure: No such file or directory 

b. 使用lsof命令查看当前是否有进程打开/var/log/secure,

  1. [root@hlmcen69n3 ~]# lsof | grep /var/log/secure 
  2.  
  3. rsyslogd   1264      root    4w      REG                8,1  3173904     263917 /var/log/secure (deleted) 

c. 从上面的信息可以看到 PID 1264(rsyslogd)打开文件的文件描述符为4。同时还可以看到/var/log/ secure已经标记为被删除了。因此我们可以在/proc/1264/fd/4(fd下的每个以数字命名的文件表示进程对应的文件描述符)中查看相应的信息,如下:

  1. [root@hlmcen69n3 ~]# tail /proc/1264/fd/4 
  2.  
  3. Sep 20 16:47:21 hlmcen69n3 sshd[38511]: pam_unix(sshd:session): session closed for user stone 
  4.  
  5. Sep 20 16:47:21 hlmcen69n3 su: pam_unix(su-l:session): session closed for user root 
  6.  
  7. Sep 20 16:49:30 hlmcen69n3 sshd[38605]: pam_unix(sshd:session): session closed for user test01 
  8.  
  9. Sep 20 16:50:04 hlmcen69n3 sshd[38652]: reverse mapping checking getaddrinfo for 190.78.120.106.static.bjtelecom.net [106.120.78.190] failed - POSSIBLE BREAK-IN ATTEMPT! 
  10.  
  11. Sep 20 16:50:04 hlmcen69n3 sshd[38652]: Accepted password for test01 from 106.120.78.190 port 28956 ssh2 
  12.  
  13. Sep 20 16:50:05 hlmcen69n3 sshd[38652]: pam_unix(sshd:session): session opened for user test01 by (uid=0
  14.  
  15. Sep 20 17:18:51 hlmcen69n3 unix_chkpwd[38793]: password check failed for user (root) 
  16.  
  17. Sep 20 17:18:51 hlmcen69n3 sshd[38789]: pam_unix(sshd:auth): authentication failure; lognameuid=0 euid=0 tty=ssh ruserrhost=51.15.81.90  user=root 
  18.  
  19. Sep 20 17:18:52 hlmcen69n3 sshd[38789]: Failed password for root from 51.15.81.90 port 47014 ssh2 
  20.  
  21. Sep 20 17:18:52 hlmcen69n3 sshd[38790]: Connection closed by 51.15.81.90 

d. 从上面的信息可以看出,查看/proc/1264/fd/4就可以得到所要恢复的数据。如果可以通过文件描述符查看相应的数据,那么就可以使用I/O重定向将其重定向到文件中,如:

  1. [root@hlmcen69n3 ~]# cat /proc/1264/fd/4 > /var/log/secure 

e. 再次查看/var/log/secure,发现该文件已经存在。对于许多应用程序,尤其是日志文件和数据库,这种恢复删除文件的方法非常有用。

  1. [root@hlmcen69n3 ~]# ll /var/log/secure 
  2.  
  3. -rw-r--r--. 1 root root 3173904 Sep 20 17:24 /var/log/secure 
  4.  
  5.   
  6.  
  7. [root@hlmcen69n3 ~]# head /var/log/secure 
  8.  
  9. Sep 17 03:28:15 hlmcen69n3 sshd[13288]: reverse mapping checking getaddrinfo for 137-64-15-51.rev.cloud.scaleway.com [51.15.64.137] failed - POSSIBLE BREAK-IN ATTEMPT! 
  10.  
  11. Sep 17 03:28:15 hlmcen69n3 unix_chkpwd[13290]: password check failed for user (root) 
  12.  
  13. Sep 17 03:28:15 hlmcen69n3 sshd[13288]: pam_unix(sshd:auth): authentication failure; lognameuid=0 euid=0 tty=ssh ruserrhost=51.15.64.137  user=root 
  14.  
  15. Sep 17 03:28:17 hlmcen69n3 sshd[13288]: Failed password for root from 51.15.64.137 port 59498 ssh2 
  16.  
  17. Sep 17 03:28:18 hlmcen69n3 sshd[13289]: Received disconnect from 51.15.64.137: 11: Bye Bye 
  18.  
  19. Sep 17 03:28:22 hlmcen69n3 sshd[13291]: reverse mapping checking getaddrinfo for 137-64-15-51.rev.cloud.scaleway.com [51.15.64.137] failed - POSSIBLE BREAK-IN ATTEMPT! 
  20.  
  21. Sep 17 03:28:22 hlmcen69n3 unix_chkpwd[13293]: password check failed for user (root) 
  22.  
  23. Sep 17 03:28:22 hlmcen69n3 sshd[13291]: pam_unix(sshd:auth): authentication failure; lognameuid=0 euid=0 tty=ssh ruserrhost=51.15.64.137  user=root 
  24.  
  25. Sep 17 03:28:24 hlmcen69n3 sshd[13291]: Failed password for root from 51.15.64.137 port 37722 ssh2 
  26.  
  27. Sep 17 03:28:25 hlmcen69n3 sshd[13292]: Received disconnect from 51.15.64.137: 11: Bye Bye 

【编辑推荐】

  1. iPhone和MacBook的相机被入侵?访问这个网站应注意!
  2. 电子商务公司StorEnvy被黑客入侵,150万纯文本帐户信息泄漏
  3. 微软漏洞赏金计划,破解其自定义 Linux OS 可获 10 万美元
  4. 调查显示41%美国宽带家庭担心黑客入侵智能家居设备
  5. 多个国家的在线商店遭黑客入侵,SQL数据库正在出售
【责任编辑:赵宁宁 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢
24H热文
一周话题
本月获赞

订阅专栏+更多

大数据安全运维实战

大数据安全运维实战

CDH+Ambari
共20章 | cs312779641

56人订阅学习

实操案例:Jenkins持续交付和持续部署

实操案例:Jenkins持续交付和持续部署

微服务架构下的自动化部署
共18章 | freshman411

174人订阅学习

思科交换网络安全指南

思科交换网络安全指南

安全才能无忧
共5章 | 思科小牛

102人订阅学习

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO官微