Linux入侵分析（一）如何找到恶意进程和文件？

1.检查CPU内存

top
按大写的“P”键将内容按CPU占用率排序,查看占用率高的进程和PID

2.netstat主机内查看网络连接情况

netstat   -anp
netstat –antlp 
netstat -anltp | more
netstat -tunpl
netstat -antlp | grep -v -e nginx -e "140.205" -e   "192.168.0.3:80 " -e "mem"

netstat -ltpe 使用 -ep 选项可以同时查看进程名和用户名。
注意 - 假如你将 -n 和 -e 选项一起使用,User 列的属性就是用户的 ID 号,而不是用户名。

3.netstat查看gateway

netstat -rn

4.在主机外围检测主机端口开放情况

nmap -Pn 1.2.3.4 -p 1-65535
根据开放的端口缩小入侵途径范围

5.redis 6379端口是否存在未授权访问

(1)公网使用其他机器执行命令"telnet 分析主机IP 6379",若链接成功,存在Redis未授权访问
(2)本机测试redis非授权访问:[root@eapple-nfb ~]# redis-cli
127.0.0.1:6379> keys *
(3)ps -ef | grep 6379 检查Redis是否由root用户启动,如果是,疑似存在Redis未授权访问,建议使用非root用户启动,并设置密码。
(4)Redis注入SSH Key
检查/root/.ssh目录下是否存在authorizedkeys等sshkey文件,若存在且不是用户设置,疑似存在Redis未授权访问

6.根据PID找到进程文件位置

(1)ps -ef |grep 31685
ps -aux | grep zabbix

(2)利用/proc/PID
ll /proc/PID号有一行内容为“exe -> /xxx/xxxx/xxxxx”即为该进程目录
ls -l /proc/PID号/exe
file /proc/PID号/exe

(3)lsof -p pid123456

7.根据程序名找到文件位置

find / -name infod
find / -name “ *”
find / -name “. *”
find / -name “.. *”

8.根据user查找关联程序文件位置

(1)find / -user ubuntu | grep -v '/home/ubuntu'
(2)lsof -u ubuntu

9.查看程序最后修改时间

ll /路径/程序名
ll等于ls -l
ls是显示当前目录下文件,”ls -l“是显示当前目录下文件详细信息。

ll /usr/sbin/httpd
-rwxr-xr-x 1 root root 523568 Oct 12 2017 /usr/sbin/httpd

10.进程树pstree查看子进程

yum install psmisc
pstree -p
pstree -p -a

三种系统上的安装方法:

#On Mac OS    :brew install   pstree  
#On Fedora/Red Hat/CentOS  :yum install psmisc #using psmisc   package for pstree  
#On Ubuntu/Debian APT  :apt-get install psmisc

11.自动启动项

(1)查看开机启动项
chkconfig --list 或者 cat /etc/rc.local

(2)定时任务脚本
crontab -l 命令查看
crontab -l -u oracle 查看oracle用户的定时任务

cron文件目录,查看/etc/crontab,/etc/cron.d,/etc/cron.daily,cron.hourly/,cron.monthly,cron.weekly/是否存在可以脚本或程序

crontab -l 命令解释
    */30 * * * * /var/tmp/". "/c
    {minute} {hour} {day-of-month} {month} {day-of-week}   {full-path-to-shell-script} 
    o minute: 区间为 0 – 59   
    o hour: 区间为0 – 23   
    o day-of-month: 区间为0   – 31 
    o month: 区间为1 – 12. 1   是1月. 12是12月.   
    o Day-of-week: 区间为0 –   7. 周日可以是0或7.

    "*/30"表示每30个单位,这里代表每30分钟

12.木马鉴别网站：微步在线/virustotal鉴定可疑文件和IP

https://x.threatbook.cn/
www.virustotal.com
http://r.virscan.org

13.抓包分析流量

(1)抓tcp包
tcpdump -i eth0 -w tel.pcap
(2)抓http的包
tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
杀毒软件 clamav (1)源:yum install epel-release

14.杀毒软件 clamav

(1)源:yum install epel-release

(2)软件:yum install clamav-server clamav-data clamav-update clamav-filesystem clamav clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd -y

(3)更新病毒库:freshclam

扫描所有用户的主目录就使用 clamscan -r /home
扫描您计算机上的所有文件并且显示所有的文件的扫描结果,就使用 clamscan -r /
扫描您计算机上的所有文件并且显示有问题的文件的扫描结果,就使用 clamscan -r --bell -i /

#感觉--bell没什么用,由于扫描了/sys/所以会报错4000+
LibClamAV Warning: fmap_readpage: pread fail: asked for 4077 bytes @ offset 19, got 0
WARNING: Can't open file /sys/bus/hid/drivers/topseed/bind: Permission denied

注意:使用clamscan --exclude-dir=/sys/ -i -r /
由于/sys/目录的特殊性,扫描会产生大量报错,越过此文件夹即可。
-i代表只报出infected的文件,-r代表子文件夹也要扫描,/就是根目录了

15.工具chkrootkit检查入侵

https://www.lvtao.net/server/chkrootkit.html