关于linux:linux检测系统是否被入侵下

查看零碎的异样文件

查看敏感目录，如 /tmp 目录下的文件，同时留神暗藏文件夹，以 . 为名的文件夹具备暗藏属性

> ls -al

查找 1 天以内被拜访过的文件

> find /opt -iname "*" -atime 1 -type f

-iname不辨别大小写,-atime最近一次被拜访的工夫,-type文件类型

查看历史命令

查看被入侵后, 在零碎上执行过哪些命令, 应用 root 用户登录零碎，查看 /home 目录下的用户主目录的.bash_history 文件

默认状况下，零碎能够保留 1000 条的历史命令，并不记录命令执行的工夫，依据须要进行平安加固。

设置保留 1 万条命令

> sed -i 's/HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile

history 加固

> vim /etc/profile 

USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
if ["$USER_IP"==""]
then
   USER_IP=`hostname`
fi

export HISTTIMEFORMAT="%F %T $USER_IP `whoami`"
#为避免会话退出时笼罩其余会话写到 HISTFILE 的内容
shopt -s histappend
export PROMPT_COMMAND="history -a"
// 配置失效
> source /etc/profile

PROMPT_COMMAND 是什么

PS1-PS4 介绍了一些用于提示信息管制的环境变量，而在此之前能够进行回调的一个环境变量就是 PROMPT_COMMAND，这个环境变量中设定的内容将在交互式脚本的提醒 (PS1) 呈现之前被执行。

查看系统日志

在 Linux 上个别跟零碎相干的日志默认都会放到 /var/log 上面，若是一旦呈现问题，用户就能够通过查看日志来迅速定位，及时解决问题。罕用日志文件如下：

/var/log/btmp

记录谬误登录日志, 这个文件是二进制文件, 不能用 vi 间接查看, 能够用 lastb 看

/var/log/lastlog

记录零碎中所有用户最初一次胜利登录零碎的工夫, 这是一个二进制文件, 不能用 vi 查看, 能够用 lastlog 查看

/var/log/wtmp

永恒记录所有用户的登录、登记信息，同时记录零碎的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能间接 vi，而须要应用 last 命令来查看。

/var/log/utmp

记录以后曾经登录的用户信息，这个文件会随着用户的登录和登记一直变动，只记录以后登录用户的信息。同样这个文件不能间接 vi，而要应用 w,who,users 等命令来查问。

/var/log/secure

记录验证和受权方面的信息，只有波及账号和明码的程序都会记录，比方 SSH 登录，su 切换用户，sudo 受权，甚至增加用户和批改用户明码都会记录在这个日志文件中

查找登录零碎失败的 20 个账号

> lastb | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 20

定位有多少 IP 在爆破主机的 root 帐号

> grep "Failed password for root" /var/log/secure | sort | uniq -c | sort -nr | more

查看所有重启日志信息

> last reboot

查看零碎失常的运行工夫

> uptime -s

查看哪些 IP 在爆破

> grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

查看哪些 IP 登录胜利了

> grep "Accepted" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

登录胜利的日期, 用户名,IP

> gerp "Accepted" /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

原文链接:https://rumenz.com/rumenbiji/…
微信公众号: 入门小站