Linux服务器被入侵后,我们该如何排查隐患
最后更新 :2022.03.05
看了看前几天的内容,发现有几天没有给大家整点干货了,正寻思着给大家整点啥,冥思苦相不得解后,偷偷溜出了办公司,跑去隔壁教学区,准备去旁听一下蹭蹭课,诶,没想到吧,授课老师正在讲Linux服务器入侵。
好的,那我就跟大家说一说Linux服务器被入侵后,我们该如何排查潜在的安全隐患,上课!
1、用户信息文件/etc/passwd
ps:无密码只允许本机登陆,远程不允许登陆
2、影子文件:/etc/shadow
3、查看当前登录用户及登录时长
4、排查用户登录信息
1.查看最近登录成功的用户及信息
2.查看最近登录失败的用户及信息:
3.显示所有用户最近一次登录信息:
在排查服务器的时候,黑客没有在线,可以使用last
命令排查黑客什么时间登录的有的黑客登录时,会将/var/log/wtmp
文件删除或者清空,这样我们就无法使用last命令获得有用的信息了。
在黑客入侵之前,必须使用chattr +a
对/var/log/wtmp
文件进行锁定,避免被黑客删除.
5、sudo用户列表
入侵排查:
通过.bash\_history
文件查看帐号执行过的系统命令:
打开 /home 各帐号目录下的 .bash_history,查看普通帐号执行的历史命令。
为历史的命令增加登录的 IP 地址、执行命令时间等信息:
注意:历史操作命令的清除:history -c
该操作并不会清除保存在文件中的记录,因此需要手动删除.bash\_profile
文件中的记录
检查端口连接情况:
使用 ps 命令,分析进程,得到相应pid号:
查看 pid 所对应的进程文件路径:
分析进程:
查看进程的启动时间点:
根据pid强行停止进程:
注意:如果找不到任何可疑文件,文件可能被删除,这个可疑的进程已经保存到内存中,是个内存进程。这时需要查找PID 然后kill掉。
检查开机启动项:
系统运行级别示意图:
查看运行级别命令:
开机启动配置文件:
启动Linux系统时,会运行一些脚本来配置环境——rc脚本。在内核初始化并加载了所有模块之后,内核将启动一个守护进程叫做init
或init.d
。这个守护进程开始运行/etc/init.d/rc
中的一些脚本。这些脚本包括一些命令,用于启动运行Linux系统所需的服务。
开机执行脚本的两种方法:
(1)在/etc/rc.local的exit 0语句之间添加启动脚本。脚本必须具有可执行权限
(2)用update-rc.d命令添加开机执行脚本
1、编辑修改/etc/rc.local
2、update-rc.d:此命令用于安装或移除System-V风格的初始化脚本连接。脚本是存放在/etc/init.d/
目录下的,当然可以在此目录创建连接文件连接到存放在其他地方的脚本文件。
此命令可以指定脚本的执行序号,序号的取值范围是 0-99,序号越大,越迟执行。
当我们需要开机启动自己的脚本时,只需要将可执行脚本丢在/etc/init.d
目录下,然后在/etc/rc.d/rc_.d
文件中建立软链接即可。
语法:update-rc.d 脚本名或服务 <remove|defaults|disable|enable>
开机即执行。
入侵排查:
计划任务排查:
需要注意的几处利用cron的路径:
上面的命令实际上是列出了/var/spool/cron/crontabs/root
该文件的内容:
- /etc/crontab只允许root用户修改
- /var/spool/cron/存放着每个用户的crontab任务,每个任务以创建者的名字命名
- /etc/cron.d/将文件写到该目录下,格式和
/etc/crontab
相同 - /etc/cron.hourly/、
/etc/cron.daily/
、/etc/cron.weekly/
、/etc/cron.monthly/
目录中,让它每小时/天/星期/月执行一次。
小技巧:
入侵排查:重点关注以下目录中是否存在恶意脚本;
入侵排查:
查询已安装的服务:
RPM 包安装的服务:
源码包安装的服务:
异常文件检查:
按照几种方式查找修改的文件:
(1)按照名称
(2)按照文件大小
(3)按照时间查找
(4)根据属主和属组查找:
(5)按照CPU使用率从高到低排序:
(6)按照内存使用率从高到低排序:
补充:
1、查看敏感目录,如/tmp目录下的文件,同时注意隐藏文件夹,以“..”为名的文件夹具有隐藏属性。
2、得到发现WEBSHELL、远控木马的创建时间,如何找出同一时间范围内创建的文件?
可以使用find命令来查找,如find /opt -iname "*" -atime 1 -type f 找出 /opt 下一天前访问过的文件。
3、针对可疑文件可以使用 stat 进行创建修改时间。
系统日志检查:
日志默认存放位置:/var/log/
必看日志:secure、history
查看日志配置情况:more /etc/rsyslog.conf
日志分析技巧:
内容很长,还有些枯燥,但是希望大家可以慢慢看完,要是有哪里需要补充的,也随时欢迎大家评论留言,好的,下课!!
- END -
怎样高效开展网络安全事件调查
怎样高效开展网络安全事件调查作者:时间:2023-08-08 15:21:29网络安全培训 网络安全...
撕葱大众点评遭盗绑的原因是它!
首先,我们来看这个概念:撞库。撞库是黑客通过收集互联网已泄露的用户和密码信息,生成对应的...
网络安全工程师必知的头号间谍武器“飞马”
网络安全工程师必知的头号间谍武器飞马本月10日,西班牙政府发言人爆出一条消息,西班牙内政...
“云清洗”是什么意思?云清洗服务器能防御DDOS攻击吗?
相信大家在租用服务器时可以看到不少的专业名词,之前是很少接触到的。比如“云清洗”、“云清洗服务器”。那么“云清洗”指的是什么服务呢?清洗的又是什么?是不是我们通常理解的那种清洗呢?高防服务器“云清洗”一般指的...
34万个人隐私遭泄露,受害者漠不关心,却将网络安全推上就业热门
据悉,截至2021年12月,我国网民规模达10.32亿,较2020年12月增长4296万,互联网普及率达73.0%。...
想转行,湖北网络安全培训哪家强
疫情之后,很多行业都受到了冲击,收益停滞不前,业内的小伙伴们也越来越怀疑自己当初的选择,也...
面对疫情就业压力的影响,大学生们应该怎么办?
伴随着疫情的反复,市场经济处于衰退状态,很多企业为了能正常维持资金运转只能缩减开支,减少...
哥伦比亚房产经纪公司泄露超10万名客户的信息
据网络安全公司WizCase称,包含550万个文件的超过1兆字节的数据被泄露,泄露了哥伦比亚一家房地产公司超过10万名客户的个人信息。Ata Hakçıl和他的团队在Coninsa Ramon H拥有的数据库中发现了这一漏洞,Coninsa Ramon H...
网络安全工程师如何快速入门?哪里能学到网络安全硬核知识?
网络安全前景怎么样,盾叔讲过很多次了,有不少同学专门私信盾叔,希望盾叔讲一讲网络安全工程...
企业网络安全防护措施合集,你漏了吗?
我们经常看到报纸或者资讯新闻上又爆出某某公司又被黑客袭击啦,勒索多少多少的,诶盾叔只能...
为啥黑客都喜欢盯着远程工作的你企业的员工?
为啥黑客都喜欢盯着远程工作的你企业的员工?后疫情时代,远程办公逐渐成为很多企业上班的...
孩子要去学网络安全,网络安全行业前景好吗?
毕业季,盾叔最近接待了很多学生家长来咨询网络安全学习的问题。家长们最主要关注三点:什么...
什么是XSS攻击?有哪些攻击原理?
什么是XSS攻击?XSS攻击通常指的是通过利用网页开发时留下的漏洞,通过巧妙的方法注入恶意...
如何用web渗透渗入一个小姐姐的心
公司新来了运营小姐姐,但是身为废物的我在公司默默无闻,怎么才能让小姐姐注意到我呢,既然要...
30岁转行网络安全来得及吗?有发展空间吗?
30岁转行网络安全来得及吗?有发展空间吗?现阶段,很多30岁左右的人群都面临就业难的问题,...
初入职场,这些PUA手段你必须提前知道
初入职场 这些PUA手段你必须提前知道毕业季又到了,很多人通过春招已经拿到了offer,即将入...
我为什么要做攻城狮而不是程序猿
我大学学的是计算机专业,大四毕业就找了个程序猿的工作。两年之后,我带着做程序猿赚的一些...
任正非的“活下去” 对于普通年轻人择业的警示
22号,华为内部论坛上线了一篇关于《整个公司的经营方针要从追求规模转向追求利润和现金...
这种“二维码”你居然还敢扫?
如今,由于越来越多企业的员工接受过安全意识培训。不会再轻易点击邮件中的可疑链接。所...
什么是闪电贷攻击?
上月,Avalanche上的DeFi平台(“去中心化金融,也被称为“开放式金融”平台)Platypus Finance...
【网络安全基础知识】什么是网络嗅探?基本工作原因是什么?
【网络安全基础知识】什么是网络嗅探?基本工作原因是什么?什么是网络嗅探?网络嗅探需要...
计算机0基础可以学网络安全吗
计算机0基础可以学网络安全吗作者:时间:2023-08-03 16:18:15网络安全培训 网络安全培...
女生学网络安全有企业要吗?
近期,网络安全行业逐渐推上浪潮,从以往的小众走向蓬勃发展。已经成为了大部分人心中热门的...
网络安全的公司有哪些?
网络安全的公司有哪些?这是目前大学生都在问的一个高频问题,位居岗位热门公司搜索前十。为...
什么是网络安全零信任
零信任是一种全新的网络安全防护理念。零信任基于身份认证和授权重新构建访问控制的信任...
高考季的永恒话题,年轻人该学什么
今天是高考的第一天。先预祝大家,取得好成绩!提笔的时候,盾叔想起了自己多年来经常重复着高...
HTTP3协议的安全优势与挑战
HTTP/3是超文本传输协议(HTTP)的第三个正式版本,将改善网络性能和稳定性,解决各种安全隐私问...
网络安全工程师提示你 不要随意把这些东西借给别人
网络安全工程师提示你 不要随意把这些东西借给别人当知根知底的老朋友突然找到你,以工...
考研失败的同学,换个成长思路吧
考研成绩出来了。成绩不理想的你是否内心五味杂陈,有些同学甚至是二战三战。你可能在为...
自学网络安全能找到工作吗?
自学网络安全能找到工作吗?今天收到一条私信,一名刚高校毕业的应届生咨询盾叔,说自己毕业找...
内鬼作祟!美国新闻业遭受大规模供应链攻击,数百家报纸网站被“挂马”
内鬼作祟!美国新闻业遭受大规模供应链攻击,数百家报纸网站被“挂马”据新闻11月3日报道:有...
网盾安全学院4.27“丰碑班”开启了!最好的服务给最可敬的人
2022年北京冬奥会开幕式上,一名中国军人凝视五星红旗激动落泪的照片,成为这场体育盛事中最...
2023 万物复苏,这个职业可以让失业的你满血复活
随着疫情全面放开,在神州大地此起彼伏的咳嗽声中,新年的钟声也即将敲响。2022的你,可能被...
微信表情写入判决“懂的都懂”可心上人的暗语你能懂?
江苏高院发文,微信表情符号也写入判决了。然后各种奇葩案件被网友搜了出来。在一起人格权...
网络安全自学从哪里入手?
网络安全自学从哪里入手?作者:时间:2023-08-17 17:42:43网络安全培训 网络安全培训班 ...
8月起,重大网络安全事件影响美股上市
8月起,重大网络安全事件影响美股上市作者:时间:2023-08-01 11:19:44网络安全培训 网络...
智慧城市的网络安全要如何防护
什么是智慧城市?智慧城市是基于知识社会下一代创新的城市信息化高级形态,将新一代信息技...
网络安全需要学心理学吗
网络安全需要学心理学吗盾叔会经常收到一些小伙伴问这样一个问题:未来如果做网络安全工程...
教育部:网络安全等16个领域纳入国家安全教育 大中小学全覆盖
从教育部获悉,为深入学习贯彻习近平总书记总体国家安全观,结合教育系统实际,教育部2020年9...
网络安全小白应该读哪些书
《WEB攻防之业务安全实战指南》这本书盾叔认为是一本网络安全小白必读的书目,从原理到案...
等保2.0涉及的PostgreSQL数据库(上)
登录数据库一般用户在pgsql服务器上会创建相应的postgres用户,我们切换到postgres用户来...
【网络安全基础知识】什么是WireShark?有哪些作用?其抓包原理有哪些?
【网络安全基础知识】什么是WireShark?有哪些作用?其抓包原理有哪些?什么是WireShark?wir...
什么是工控安全?工控安全有哪些隐患
工业控制系统的定义工业控制系统是对诸如图像、语音信号等大数据量、高速率传输的要求,又...
20届还没找到工作的同学,现在该如何快速自救?!
2020年,这届毕业生,难!还没找到工作的2020届毕业生,到底该怎么办?2020届毕业生:我们实在太难了...
网络安全工程师必用的6个渗透工具,专业工具渗透工作更好做!
渗透测试是通过模拟恶意黑客的攻击方法,来评估计算机网络系统安全的一种评估方法。同时,网络所有者根据渗透人员提供的渗透测试报告,可以清晰知晓系统中存在的安全隐患和问题。在这些过程中除了需要渗透测评师的技术还需...
元宇宙带来的网络安全问题:身份匿名性将不复存在
美国加州大学伯克利分校的最新论文表明,未来元宇宙有没有隐私可言,取决于有没有新保障措...
等保2.0涉及的Apache Tomcat中间件(上)
这里就谈谈等保2.0要求,对应到Apache Tomcat中间件的一些条款要求。安装步骤略过,我们直接...
什么是渗透测试和代码审计?两者有什么区别呢?
什么是渗透测试和代码审计?两者有什么区别呢?渗透测试与代码审计有什么区别呢?可能大家想...
怎么零基础入门网络安全?网络安全入门教程详解
怎么零基础入门网络安全?网络安全入门教程详解作者:时间:2023-07-14 17:24:02网络安全培训...
什么是CSRF攻击?CSRF攻击原理是什么?
什么是CSRF攻击?CSRF攻击是通过强制用户登录到攻击者控制的账户来策划的。为了达到这一...
为何越来越多的程序员纷纷转行网络安全?
目前,我国IT行业的人才结构不断升级,公司对程序员的要求越来越高,出现了大量的裁员现象,导致...
警惕!北京健康宝多次遭境外网络攻击,网络安全应对刻不容缓
4月28日,北京市第318场新冠病毒肺炎疫情防控工作新闻发布会召开。北京青年报记者在会上获...
学网络安全为什么培训好?
学网络安全为什么培训好?根据最新版网络安全产业人才发展报告指出,在疫情常态化后,国内经济...
「网络安全基础知识」什么是SQL注入?SQL注入攻击的原理是什么?
什么是SQL注入?SQL注入是指web应用程序对用户输入数据的合法性没有判断或过滤不严,攻击者...
靶机渗透之Me And My GirlFrends
靶机渗透之Me And My GirlFrends官网下载:http://www.vulnhub.com/entry/me-and-my-girl...
白帽子:聊聊安全界的那些书
感觉今年的安全书籍相对比较萧条,而那本CTF书着实火了一把,其它新出安全书籍其实不多了。...
黑客技术难不难?要怎么学?
黑客技术难不难?要怎么学?作者:时间:2023-08-15 16:53:54网络安全培训 网络安全培训班 ...
高考扎推报网络安全专业,非科班的你还在观望等机会流失吗?
高考扎推报网络安全专业,非科班的你还在观望等机会流失吗?作者:时间:2023-06-12 14:59:37网...
一文了解新概念“网络安全网格”
一文了解新概念“网络安全网格”作者:时间:2023-09-08 14:58:22网络安全培训 网络安...
设计专业想转行,做什么工作前景好,更赚钱?
由于设计行业的竞争越来越大,逐渐趋于饱和状态,导致在所有行业里是内卷最严重的行业。再...
网络安全为什么越来越重要了?
前几天,我在阅读《2020中国网络安全企业100强报告》时,看到了这样三句话:未来十年,中国网络...
vlunhub的dc-2靶机笔记
1.官网下载任务目标:拿到4个flag.txt文件2.使用vbox虚拟机导入3.使用kali进行扫描arp-sc...
Hash算法进行签名验签
Hash算法进行签名验签Hash算法哈希算法(Hash 算法,Hash 算式,散列算法,消息摘要算法) :将任意长度的二进制值映射为较短的固定长度的二进制值,这个小的二进制值称为哈希值。性质...
网络安全电子数据取证如何学习
随着互联网技术的发展,各种新型的网络诈骗案件迅速增加,犯罪手法隐蔽,为电子数据取证鉴定...
美国电信巨头遭殃!遭黑客入侵窃取源代码,网络安全威胁不断
4月24日据外媒报道,美国电信巨头T-Mobile在近期遭到黑客组织Lapsus$袭击,源代码被窃取。T-...
争做时代先锋,用技术捍卫网络领土| 网盾安全学院“堡垒班”正式开班!
“堡垒”是出自于一款网络设备中的硬件服务器——堡垒机。是指在一个特定的网络环境下,...
有哪些途径可寻找网络安全相关工作机会?如何准备网络安全面试?
有哪些途径可寻找网络安全相关工作机会?如何准备网络安全面试?作者:时间:2023-07-28 17:37:...
网络安全人才薪资待遇这么好,为什么却成了企业最难留住的员工?
盾叔学院的一批学生在上课时突然问了一个问题:目前市面上网络安全的岗位薪资确实很高,但是...
武汉网盾科技与国家网安基地强强联合,共创辉煌!!
公司发展简介武汉网盾网络安全培训基地位于武汉市自然风光优美的东湖高新技术开发区华师...
信息安全行业的现状及趋势
信息安全是指对信息系统的硬件、软件、系统中的数据及依托其开展的业务进行保护,使得它们不会由于偶然的或者恶意的原因而遭到未经授权的访问、泄露、破坏、修改、审阅、检查、记录或销毁,保证信息系统连续可靠地正常运...
数字安全巨头出事了,全球恐遭毁灭性打击
近期,据BleepingComputer最新报道,数字安全巨头Entrust Inc遭到勒索软件团伙攻击。直到7月...
老师嘴里必考的网络安全知识点
大家好,盾叔今天又来给大家做干货分享咯,要是大家想了解哪些方面的知识技巧,可以在评论或者...
亚马逊暴亏38亿!外贸也遇冷,未来收入高失业率低的行业还有哪些
亚马逊暴亏38亿!外贸也遇冷。未来收入高,失业率低的行业还有哪些?上月底,亚马逊发布了2022...
转行网络安全怎么选择就业方向?
转行网络安全怎么选择就业方向?很多想转行学习网络安全的小伙伴们都会遇到不知道朝哪个...
这个技能学会了,不考研也能迅速找到高薪工作!
近几年“考研热”持续升温,报名人数和报录比屡创新高。据数据显示:2003年全国考研人数仅...
刚毕业就失业,还有什么行业可以冲?
毕业就失业,这是一个残酷的现实。全球经济衰退,很多行业都被时代洗刷,很多专业也就遇到了就...
小哥寻刺激裸聊遭勒索,反手这个操作直接扒出骗子“老窝”
去年,培训中心来了一个羞涩的小哥,他想要咨询的问题有点难以启齿。不过在我的暖心攻击下,他...
2022年不断扩大的网络威胁攻击面
在过去的一年里,网络犯罪出现了空前增长。Fortinet研究表明,在2020年7月至2021年6月之间的...
什么是等保测评和渗透测试?两者有什么区别呢?
什么是等保测评和渗透测试?两者有什么区别呢?等保测评和渗透测试有什么区别?首先我们来了...
2022年网络安全培训火了,缺口达95%,揭开网络安全岗位神秘面纱
微软被黑客攻击泄露源代码、巴西国库遭勒索软件攻击、伊朗遭受网络攻击导致全国加油站大...
ASPM——网络安全的下一个热点
数字化时代,应用程序是每个企业的重要工具。然而随着攻击者的技术和策略日趋复杂,应用程...
0基础转行学习网络安全可行吗?
0基础转行学习网络安全可行吗?随着数字经济的发展,网络安全越来越被大众所重视,成了当今...
数据泄露的受害者们过得怎么样?财务情况、情感和身体状况
将近 30%的受害者受到多种身份凭证泄露的影响。过去,我们更多地关注着数据泄露对于企业造...
交行一储户近43万元被盗走,人脸识别漏洞成作案工具
最近,交通银行人脸识别漏洞被攻破造成的账户资金盗刷的事件,备受大众关注。究竟是什么情况...
什么是FTP服务器?有哪些作用?
什么是FTP服务器?FTP服务器(File Transfer Protocol Server)是在互联网上提供文件存储和...
国外的这份最新权威数据泄漏报告值得看一看
国外的这份最新权威数据泄漏报告值得看一看作者:时间:2023-06-27 15:52:22网络安全培训 ...
“疫情时代”逐渐结束,经济复苏拐点已至,普通人如何借势发展?
回顾2022年,疫情肆虐,消费停滞,出口受阻,债市震荡,货币和大宗商品暴跌,市场动荡不断。让我们...
当面临“摩擦性”失业困境时,如何突出重围?
最近,关注到摩擦性失业的新闻时,令人震惊!国家统计局新闻发言人指出:青年群体初次进入劳动力...
运维其实是你高攀不上的职位
运维其实是你高攀不上职位在每个行业都有基层人员,任何职业都是平等或者说是应该被尊重的...
渗透测试与漏洞扫描有什么区别?前景如何?
渗透测试与漏洞扫描有什么区别?前景如何?相信大家在学习网络安全的时候都有了解渗透测试...
2020网络安全逆势而动
2020年,全球地缘政治冲突多发,各国经济问题凸显。全球网络空间态势日趋复杂。人工智能、区...
在暗网上分享数百万儿童色情图片的男子被判入狱27年
一名爱尔兰裔美国双重公民因在暗网上分享数百万张描绘儿童、幼儿和婴儿性虐待的图像而被判处27年美国联邦监狱。都柏林居民Eric Eoin Marques于2019年3月23日被引渡到美国,面临2013年8月8日在马里兰州提起的联邦刑事指...
别再拜神了,从韦东奕身上你最该学的是这件事
别再拜神了 从韦东奕身上你最该学的是这件事你是不是通过这张图认识的这位数学天才?那时...
什么是云计算产品安全分析师?
什么是云计算产品安全分析师?云计算产品安全分析师是网络安全大方向下网络安全规划与设计...
中美信息战正式打响了!中国用户被美国长期无差别监听,我们普通人该如何做好隐私防护?
9.5日央视新闻揭露:“美国利用41种专用网络攻击武器装备,对西北工业大学进行了数千次攻击...
全球数百万用户恐遭信息泄露,罪魁祸首竟是“它”
近日,安全研究人员发现,MICODUS MV720 GPS设备存在诸多高风险漏洞,数百万用户分布在世界169...
湖北武汉网络安全培训中心-渗透测试教程-网盾科技推荐就业
网络安全绝不是简单安装一个杀毒软件就可以解决的。在阻断病毒的过程中,网络攻击会不断升...
Web安全渗透与移动安全逆向有什么区别?发展前景如何?
随着网络安全行业的飞速发展,现已在数字化、网络化、智能化的趋势下,从传统网络安全领域...
苹果要求APP支持账号删除,信息安全有保障了?
5G时代,花样繁多的移动 App可以为我们提供各种各样的服务,不过在使用的时候,你会发现很多AP...
网络安全培训为什么火了?
很多小伙伴在网上搜索网络安全时,会出来网络安全工程师这样一个职位,它的范围很广,只要是与...
- 数据加载中,请稍后...