Linux 下手动查杀木马过程

清疚 2022-09-02 11:53 490阅读 0赞

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70][]

*  **模拟木马程序病原体并让木马程序自动运行**
 *  
 *  **黑客让脚本自动执行的 3 种方法：  
    （1）、计划任务： crontab  
    （2）、开机启动  
    （3）、系统命令被人替换，定一个触发事件**
 *  **生成木马程序病原体  
    \# vim /usr/bin/troy  
    \#!/bin/bash  
    touch /tmp/aaa.txt  
    while true  
    do   
    echo \`date\` >> /tmp/date.txt  
    sleep 1  
    done**
 *  chmod +x /usr/bin/troy  
    troy &  
    \[1\] 19273  
    ps -aux|grep troy

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 1][]

*  使用计划任务 crontab 让木马自动运行
 *  crontab -e  
    00 00 \* \* \* /usr/bin/troy &

![20210803094855118.png][]

*  黑客以非 root 用户添加计划任务，最好使用已经存在系统用户添加。这里使用 bin 用户来添加
 *  crontab -u bin -e  
    1 \* \* \* \* echo "aaaaaaa" >> /tmp/bin.txt

![20210803095114825.png][]

*  如何查看所有用户的计划任务？ 做黑客要有一个很扎实的基础，还要有一个很好的思维。不用遍历/etc/passwd 中所有的文件，这太复杂了。因为每个用户的计划任务都有独立的文件。  
    \# ll /var/spool/cron/     \#这个目录下存放着所有用户级别的计划任务

![20210803095221184.png][]

*  注：所有用户的计划任务，都会在/var/spool/cron/下产生对应的文件。只要看一下这个目录下的文件，就知道哪些用户生成了计划任务
 *  
 *  **黑客使在系统级别的计划任务中追加木马 ，查看系统级别的计划任务相关文件 **
 *  **ls /etc/cron\***

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 2][]

*  注：  
    crontab \#写具体时间的统级别的定时任务  
    cron.d/ \#系统级别的定时任务  
    cron.daily/ \#系统每天要执行计划任务  
    cron.hourly/ \#系统每小时要执行计划任务  
    cron.monthly/ \#系统每月要执行计划任务  
    cron.weekly/ \#系统每周要执行计划任务
 *  系统级别的计划任务  
    \# vim /etc/crontab \#在最后追加  
    01 3 \* \* \* root /bin/workstat &  
    添加系统级别的木马程序。可以追加到系统自带的脚本中，也可以自己新创建一个脚本，放到对应的目录下

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 3][]

*  vim /etc/cron.daily/logrotate \#在最后添加/usr/bin/troy &

![20210803095649240.png][]

*  测试执行：  
    \# /etc/cron.daily/logrotate     \#可以执行，这样木马就可以随着 tmpwatch 执行了

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 4][]

*  # 排查：利用 md5sum ，来检验文件的完整性   语法：md5sum 文件  #
 *  md5sum /etc/cron.daily/logrotate   
    **0ba7f606f28e9366fd7ceba7e95a17bb**  /etc/cron.daily/logrotate  
    echo "test" >> /etc/cron.daily/logrotate   
    md5sum /etc/cron.daily/logrotate   
    **f808a2378eb80771d510a5fade7b800c**  /etc/cron.daily/logrotate

![20210803100054520.png][]

*  注：所以通过对比 MD5 值，可以发现文件内容发生了变化。另外，系统级别的计划任务，从安装好系统后，就固定下来，一般情况不会发生改变。
 *  
 *  **如何排查/etc/cron\*下所有文件有没有被黑客修改或追加？  
    思路：对所有文件都生成一个 md5 值库，后期进行对比，可以快速找出被修改的文件。  
    例： 对/etc/cron\*下所有文件都生成 md5 值，保存为一个 md5 值的文件**
 *  find /etc/cron\* -type f -exec md5sum \{\} \\; > /opt/file\_md5.v1

![20210803100438508.png][]

*  
 *  模拟黑客在文件的最后添加以下选中的内容
 *  echo 123456 /etc/cron.daily/logrotate
 *  
 *  当发现服务器异常时，生成一个新的 MD5 值库  
    \#find /etc/cron\* -type f -exec md5sum \{\} \\; > /opt/file\_md5.v2

![20210803100647355.png][]

*  使用  diff 对2个文件进行对比
 *  diff /opt/file\_md5.v1 /opt/file\_md5.v2
 *

![20210803100737600.png][]

*  **注：如果没有前生成 file\_md5.v1 怎么办？  
    找一台正常和你服务器系统版本号一样的虚拟机，在虚拟机中生成 md5 值数据库文件。复制到服务器上，再对比。**

--------------------

*   通过开机启动脚本运行木马     /etc/rc.local 这个是开机启动脚本
 *  echo "troy" >> /etc/rc.local

![20210803101123198.png][]

*  **特例：很多人 vim 打开一个文件后，看到文档的后面是一片空白，就认为是达到文件的最后了。所以黑客在/etc/rc.local 中添加很多空行，然后在文档最后添加木马程序， 再把光标移动到行首，保存退出。也可以躲避一些运维人员的视线，达到隐藏木马的目的。**
 *  **排查：过滤掉空行  
    \# egrep -v "^$" /etc/rc.local   
    参数说明： ^$ 表示找出以$结束符开头的行，即空行； -v 表示取反显示** 
 *

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 5][]

*  把木马程序脚本写到已经存在的开机启动服务中，例如:network
 *  vim /etc/init.d/network  
    \#! /bin/bash  
    \#  
    \# network       Bring up/down networking  
    \#  
    \# chkconfig: 2345 10 90  
    \# Source function library.  
    . /etc/init.d/functions  
    **/usr/bin/troy &     \#添加这行**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 6][]

*   测试

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 7][]

*  更强的黑客：自己写一个开机启动程序
 *   vim /etc/init.d/troy  
    \#!/bin/bash  
    \# chkconfig: 12345 90 90  
    \# description: troy  
    \#\#\# END INIT INFO  
    case $1 in  
    start)  
     /usr/bin/troy &  
     ;;  
    stop)  
     ;;  
    \*)  
     /usr/bin/troy &  
     ;;  
    esac

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 8][]

*  重启验证

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 9][]

*  查看每个系统级别下的启动脚本
 *  ll /etc/rc\*/\* | grep troy

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 10][]

*   删除木马方法

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 11][]

*   排查： 对比法
 *  \# find /etc/init.d/ -type f -exec md5sum \{\} \\; > /opt/init.d.v1

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 12][]

*  \# find /etc/init.d/ -type f -exec md5sum \{\} \\; > /opt/init.d.v2  
    \# diff /opt/init.d.v1 /opt/init.d.v2

![20210803103149473.png][]

*   排查方法总结  
    方法 1：对比其他服务器的正常配置文件 ，利用 MD5 值做对比  
    方法 2： 查看被黑当天生成或被修改的文件
 *  \#查看前一天（24小时内）到现在被修改过的文件

![20210803103328471.png][]

*  使用 rpm 检查文件的完整性  
    语法：rpm -V 软件包的名字 \#使用 rpm 命令检查软件包安装后，生产的所有的文件的完整性  
    语法：rpm -Vf 命令的绝对路径 \#使用 rpm 检查命令的完整性

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 13][]

*   rpm -V 弹出的每列消息含意如下：  
    **S file Size 大小不一致  
    MMode 模式不一致 (包括许可和文件类型)  
    5 MD5 sum 校验和不一致  
    DDevice 主从设备号不匹配  
    L readLink(2) 路径不匹配  
    UUser 属主不一致  
    GGroup 所属组不一致  
    T mTime 修改时间不一致**
 *  **查看命令有没有被修改  
    \# which ls   
    /usr/bin/ls  
    \# rpm -Vf /usr/bin/ls   
    \# echo aaaa >> /usr/bin/ls \#模拟黑客，修改这个文件  
    \# rpm -Vf /usr/bin/ls    \#检查文件，弹出消息，说明文件内容被修改了**

![20210803103936963.png][]

*  系统中有很多命令和软件包，如何校对所有的命令和包？  
    查看所有 rpm 安装的软件包，生成命令或文件是否被改过？  
    例：**rpm -Va > rpm\_check.txt   \#时间较长**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 14][]

--------------------

*  系统命令被人替换  
    黑客修改/替换系统命令 , 查看命令有没有被修改  
    \# which find  
    /usr/bin/find  
    \# cp /usr/bin/find /usr/bin/ffind  
    \# rm -rf /usr/bin/find \#删除原来的 find  
    \# vim /usr/bin/find \#插入以下内容  
    \#!/bin/bash  
    /usr/bin/ffind  
    echo test  
    \# chmod +x /usr/bin/find  
    测试：  
    \# find /opt \#没有报错，说明木马执行成功。

![20210803104432145.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 15][]

*  **总结：  
    黑客如何让脚本定时执行，有以下三种方法：  
    1、计划任务： crontab 和系统级别的计划任务  
    2、开机启动 rc.local 和开机启动脚本  
    3、系统命令被人替换，定一个触发事件  
    排查木马方法总结：  
    方法 1：通过生成 md5 值数据库，查询文件系统的完整性  
    方法 2: 利用 find 命令查找下最近被修改过的文件：一般情况下命令文件都很久之前被修改的。  
    方法 3: 被入侵后，检测所有 rpm -Va 生成的文件是否被改动过**

--------------------

*  # 生成木马程序的父进程实现自我检测并运行   生成木马的父进程，自动检测子进程，如果子进程被删除，父进程可以自动启动子进程。 这就是Linux 删除木马后，木马自动又生成原因。  #

![202108031049418.png][]

*  生成木马程序的父进程脚本
 *  \# vim /bin/workstat \#写一个木马程序的父进程，用于检测木马运行的脚本。   
    \#!/bin/bash  
    while true  
    do  
    num=\`pgrep troy|wc -l\`  
    if  \[\[ $num -le "1" \]\]; then  
            /bin/cp /usr/troyold /usr/bin/troy &> /dev/null  
            /usr/bin/troy &  
    fi  
    done  
    service network restart &> /dev/null

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 16][]

*   测试  木马被删除后自动运行

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 17][]

*  删除木马父进程  
    排查思路：这种情况下，你需要把找到木马的父进程，把父进程删除，再把病毒的原体删除
 *  
 *  **pstree | grep troy  
            |      |             \`-workstat---2\*\[troy---sleep\]**
 *  
 *  **查看父进程**
 *  ps -axu | grep workstat  
    root      23054  0.0  0.0 112828  2276 pts/0    S+   11:19   0:00 grep --color=auto workstat  
    **root      89583  5.0  0.0 113304  2860 pts/0    S    11:16   0:08 /bin/bash /usr/bin/workstat**
 *  
 *  让进程停止运行，不是杀掉。 如果直接杀死子进程，会再产生新进程，这里把进程停止，让进程不在发挥攻击作用，然后你自己再慢慢排查
 *  或者直接杀掉父进程，再杀死 子进程

![20210803113433626.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 18][]

*  \#S 表示是 sleep 状态 R 表示正在运行  Z 表示 僵尸进程 T 表示停止运行

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 19][]

*   先杀死 父进程 再杀死子进程

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 20][]

*   删除 父进程 文件 再删除 子进程文件

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 21][]

*  ## **创建一个让 root 用户都删除不了的木马程序** ##
 *  **chattr 扩展权限说明  
    \+i：即 Immutable，系统不允许对这个文件进行任何的修改。如果目录具有这个属性，那么任何的进程只能修改目录之下的文件，不允许建立和删除文件。 注：immutable \[ɪˈmju:təbl\] 不可改变的  
    \-i ：移除 i 参数。**
 *  **如果工作中发现某个木马程序不停的运行，可以利用扩展属性，让木马程序没有可执行权限。  
    \# touch /bin/workstat  
    \# chmod 0000 /bin/workstat && chattr +i /bin/workstat **

--------------------

*  # 不让木马程序和外网数据主动通信 #
 *  木马需要对外发大量数据包，管理可以通过 iptables 在 output 链上做限制，比如，把从output 链出去 state 状态为 new 的全部 drop 掉。  
    \# iptables -t filter -A OUTPUT -m state --state NEW -j DROP
 *  注：这是基于状态的防火墙规则。 由服务器自己自动发起的 TCP 链接状态为 NEW。木马程序一般都是主动发启连接的。  
     
 *  当然，黑客也可以在/bin/workstat 脚本中，添加放行木马通信的规则，如下：  
    iptables -F OUTPUT  
    iptables -t filter -A OUTPUT -m state --state NEW -j ACCEPT  
    这样木马就可以上网了。

--------------------

*  ### **检查 rootkit** ###
 *  ### **使用 rkhunter Rootkit 猎手来检查 rootkit**     ###
 *  ### **rkhunter 概述：中文名叫”Rootkit 猎人”, rkhunter 是 Linux 系统平台下的一款开源入侵检测工具，具有非常全面的扫描范围，除了能够检测各种已知的 rootkit 特征码以外，还支持端口扫描、常用程序文件的变动情况检查。**     ###
 *  ### **注： 在 centos7 下的 epel 源中有 rkhunter 安装包， 在 centos7 上使用这个来检查rootkit 。** ###
 *  ### **安装 rkhunter 和 unhide 包   rkhunter.noarch \#用于扫描 rootkit 和本地提权漏洞   unhide.x86\_64 \#用于找到隐藏的进程和 TCP / UDP 后门端口   \# yum install epel-release -y \#安装 epel 源   \# yum install rkhunter unhide -y** ###

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 22][]

*  为基本系统程序建立校对样本，建议系统安装完成后，马上建立校对样本。  
    \# rkhunter --propupd
 *  查看存储样本文件的数据库
 *  ll /var/lib/rkhunter/db/

![20210804094054929.png][]

*  grep passwd /var/lib/rkhunter/db/rkhunter.dat  
    File:0:/usr/bin/passwd:0942cd4ffd8ad68821b0d07060c713c6bf5d6643201a450b9a0511a4369ea919:100946882:**04755:0:0:27856:1585713439**:passwd:0::
 *  运行 rkhunter 检查系统  
    rkhunter 主要执行下面一系列的测试:  
     （1）. MD5 校验测试, 检测任何文件是否改动.  
     （2）. 检测 rootkits 使用的二进制和系统工具文件.  
     （3）. 检测特洛伊木马程序的特征码.  
     （4）. 检测大多常用程序的文件异常属性.  
     （5）. 执行一些系统相关的测试 - 因为 rootkit hunter 可支持多个系统平台.  
     （6）. 扫描任何混杂模式下的接口和后门程序常用的端口.  
    （7）. 检测如/etc/rc.d/目录下的所有配置文件, 日志文件, 任何异常的隐藏文件等等.  
    （8）. 对一些使用常用端口的应用程序进行版本测试. 如: Apache Web Server, Procmail 等.
 *  echo aaaaaa >> /usr/sbin/useradd    \#模拟黑客修改命令
 *  
 *  执行检测命令  
    \# **rkhunter --check -sk**    注： --sk 遇到需要按 enter 的地方，直接跳过 --skip-keypress
    
    **\#第一部分：检测系统命令，主要检测系统的二进制文件，这些文件最容易被rootkit攻击；  
    \#\[ OK \]表示正常，\[ Warning \]表示有异常，\[ None found \]未找到**
    
    ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 23][]
    
    ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 24][]
 *  **\#第二部分：检测rootkit，主要检测常见的rootkit程序；**
    
    **\#\[ Not found \]表示未感染**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 25][]

*  **\#第三部分：特殊或附加检测：对rootkit文件或目录检测、对恶意软件检测、对指定内核检测等**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 26][]

*  **\#第四部分：检测网络、系统端口、系统启动文件、系统用户和组配置、ssh配置、文件系统等 **

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 27][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 28][]

*  \#第五部分：应用程序版本检测

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 29][]

System checks summary  
=====================

File properties checks...  
    Files checked: 128  
    **Suspect files: 3**

Rootkit checks...  
    Rootkits checked : 486  
  **  Possible rootkits: 0**

*  使用计划任务每日自动检测
 *  mkdir /root/.rkhunter
 *  chmod -R 700 /root/.rkhunter
 *  crontab -l  
    00 00 \* \* \* /usr/bin/rkhunter --check --sk > /root/.rkhunter/check.txt

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 30][]

*  在线升级
 *  rkhunter 是通过一个含有 rootkit 名字的数据库来检测系统的 rootkits 漏洞, 所以经常更新该数据库非常重要, 通过下面命令来更新该数据库：  
    \# rkhunter --update

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 31][]

*  **检测最新版本  
    \# rkhunter --versioncheck  **
 *  
 *  总结：使用 rkhunter 的检测之后发现很多被黑客修改的地方后，处理被黑的服务器步骤如下：  
    （1）.将原主机的网络线拔除，使用内网排查；  
    （2）.备份数据，把重要的服务安装文件和数据备份；  
    （3）.查看备份的数据中有没有怪异的文件，可以下载本地，使用 windows 中的杀毒软件，查一下  
    （4）.重新安装一部完整的系统，使用 yum update 更新系统到最新版本  
    （5）. 使用 nessus 之类的软件，检验系统是否处在较为安全的状态  
    （6）.将原本的重要数据移动至上个步骤安装好的系统当中，并启动原本服务器上面的各项服务；  
    （7）.配置防火墙的规则  
    （8）.最后，将原本完整备份的数据拿出来进行分析，尤其是 logfile 部分，试图找出黑客是由那个  
    服务？那个时间点？ 以那个远程 IP 联机进入本机等等的信息，并针对该信息研拟预防的方法，并应用在已经运作的机器上。

--------------------

*  # **使用 Tripwire 检查文件系统完整性** #
 *  
 *  Tripwire 是目前最为著名的 unix 下文件系统完整性检查的软件工具，这一软件采用的技术核心就是对每个要监控的文件产生一个数字签名，保留下来。当文件现在的数字签名与保留的数字签名不一致时，那么现在这个文件必定被改动过了。
 *  
 *  Tripwire 可以对要求校验的系统文件进行类似 md5 的运行，而生成一个唯一的标识，即“快照”snapshot。当这些系统文件的大小、inode 号、权限、时间等任意属性被修改后，再次运行Tripwire，其会进行前后属性的对比，并生成相关的详细报告。
 *  
 *  \# yum install epel-release  
    安装 Tripwire，使用 yum：  
    \# yum install tripwire -y

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 32][]

*  配置 Tripwire  
    这一步使用密码为 Tripwire 生成一个站点（site）密钥和一个本地（local）密钥。这可以帮助保护Tripwire 免受未经授权的访问。本地密钥用于数据库文件，站点密钥用于配置文件和策略文件。您需要记住自己给出的密码，因为您更新策略文件或数据库时需要输入这些密码。下面的命令生成密钥：  
    \# tripwire-setup-keyfiles      \#密码都是 123456
    
    \----------------------------------------------  
    The Tripwire site and local passphrases are used to sign a  variety  of  
    files, such as the configuration, policy, and database files.
    
    Passphrases should be at least 8 characters in length and contain  both  
    letters and numbers.
    
    See the Tripwire manual for more information.
    
    \----------------------------------------------  
    Creating key files...
    
    (When selecting a passphrase, keep in mind that good passphrases typically  
    have upper and lower case letters, digits and punctuation marks, and are  
    at least 8 characters in length.)
    
    **Enter the site keyfile passphrase:  
    Verify the site keyfile passphrase:**  
    Generating key (this may take several minutes)...Key generation complete.
    
    (When selecting a passphrase, keep in mind that good passphrases typically  
    have upper and lower case letters, digits and punctuation marks, and are  
    at least 8 characters in length.)
    
    **Enter the local keyfile passphrase:  
    Verify the local keyfile passphrase:**  
    Generating key (this may take several minutes)...Key generation complete.
    
    \----------------------------------------------  
    Signing configuration file...  
    **Please enter your site passphrase: **  
    **Wrote configuration file: /etc/tripwire/tw.cfg**
    
    A clear-text version of the Tripwire configuration file:  
    **/etc/tripwire/twcfg.txt**  
    has been preserved for your inspection.  It  is  recommended  that  you  
    move this file to a secure location and/or encrypt it in place (using a  
    tool such as GPG, for example) after you have examined it.
    
      
    \----------------------------------------------  
    Signing policy file...  
    **Please enter your site passphrase: **  
    **Wrote policy file: /etc/tripwire/tw.pol**
    
    A clear-text version of the Tripwire policy file:  
    /etc/tripwire/twpol.txt  
    has been preserved for  your  inspection.  This  implements  a  minimal  
    policy, intended only to test  essential  Tripwire  functionality.  You  
    should edit the policy file to  describe  your  system,  and  then  use  
    twadmin to generate a new signed copy of the Tripwire policy.
    
    Once you have a satisfactory Tripwire policy file, you should move  the  
    clear-text version to a secure location  and/or  encrypt  it  in  place  
    (using a tool such as GPG, for example).
    
    Now run "tripwire --init" to enter Database Initialization  Mode.  This  
    reads the policy file, generates a database based on its contents,  and  
    then cryptographically signs the resulting  database.  Options  can  be  
    entered on the command line to specify which policy, configuration, and  
    key files are used  to  create  the  database.  The  filename  for  the  
    database can be specified as well. If no  options  are  specified,  the  
    **default values from the current configuration file are used**.
 *  
 *  ** tripwire --init     **                \#初始化数据库：生成基准数据库   
    **Wrote database file: /var/lib/tripwire/c7\_2\_40.twd    \# 存储数据的路径及文件名**  
    The database was successfully generated.  
     
 *  配置 Tripwire 策略  
    \# vim /etc/tripwire/twpol.txt \#一般不需要修改，默认就可以了

![20210804102459639.png][]

**c7\_2\_40-local.key \#\#\#\#加密本地密钥文件  
site.key \#\#\#\#加密站点密钥文件  
tw.cfg \#\#\#\#加密配置变量文件  
tw.pol \#\#\#\#加密策略文件  
twcfg.txt \#\#\#\#定义数据库、策略文件和 Tripwire 可执行文件的位置  
twpol.txt \#\#\#\#定义检测的对象及违规时采取的行为**

*   测试 
 *  添加或修改一些文档  
    \# echo aaa >> /etc/passwd  
    \# useradd gf1          \#添加一个用户名为 gf1 的用户
 *  第一次完整性检查，和常用检查参数  
    \# tripwire --check    \#可以发现以下内容被修改了

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 33][]

*  示例及用法  
    只检查指定的文件或目录  
    \# tripwire --check /etc/passwd   
    \# tripwire --check /etc/
 *  升级基准数据库文件  
    \#\#\#升级的目的是很正常的，因为 check 是基于基准数据的\#\#\#  
    \# tripwire --init
 *  
 *  在 /var/lib/tripwire/report 目录中，Tripwire 生成的所有报告文件都是hostname<date\_stamp>.twr 形式的。通过按日期顺序列出文件，简单地选择这次 Tripwire 扫描生成的报告。一旦有了正确的文件，就可以使用下面这个命令更新数据库：
 *  tripwire --update --twrfile /var/lib/tripwire/report/c7\_2\_40-20210804-102714.twr
 *  执行该命令之后，您就进入了一个编辑器。搜索所报告的文件名。所有侵害或更新都在文件名前面有一个 \[x\]。该演示中的查找模式如下：  
    \[x\] "/etc/passwd"  
    如果您希望接受这些更改为正当的，则只需保存并退出文件即可。Tripwire 不再报告此文件。如果您想要这个文件不被添加到数据库，那么请删除 'x'。  
    保存文件并退出编辑器时，若有数据库更新发生，会提示您输入密码以完成该过程。如果没有更新发生，那么 Tripwire 会通知您的，并且不需要输入密码。
 *  
 *  tripwire --update --twrfile /var/lib/tripwire/report/c7\_2\_40-20210805-100010.twr

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 34][]

--------------------

**黑客运行木马原理：  
1、生成是病原体  
2、通过脚本每隔 1 分钟自动检测一次，如果木马程序不存在，就从病原体复制一份儿到某个目录，  
然后执行副本木马，生成一个随机命名的程序。把副本放到系统计划任务多个路径下  
3、修改自启动配置 chkconfig --add xxx  
4、修改自启动项/etc/rc.local  
排查解决方法：  
1、删除病原体以及其副本  
2、删除系统计划任务中可疑的程序  
3、删掉自启动服务的脚本 chkconfig --del xxx  
4、删掉可疑的自启动项：vi /etc/rc.local  
5、删除/etc/crontab 下可疑的任务  
6、删除/etc/cron\*下可疑的 sh 脚本  
7、重启，查看脚本是否还执行**

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70]: /images/20220829/94b5d87b9c3949d3845dfcb7e8bbace3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 1]: /images/20220829/dbf2663ec7f34e49ba775ceca96a8f18.png
[20210803094855118.png]: /images/20220829/0b366154ea71416db6d7aa749ffc6c86.png
[20210803095114825.png]: /images/20220829/d9ec9e86d7954d3c9e0fa39fc641164d.png
[20210803095221184.png]: /images/20220829/115ddca39ff3415a8cb92ce593f5fbc9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 2]: /images/20220829/33a6ad4e13594011a3d90347647218a8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 3]: /images/20220829/1da86b43a6574192b18eeb435e58d9a3.png
[20210803095649240.png]: /images/20220829/58646a6f3e3f40ec9f08dfd3a4ebd791.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 4]: /images/20220829/7bdaa72cdaa648c3b6aebdcd677f4add.png
[20210803100054520.png]: /images/20220829/7e7b29f570bc4bb6bd542295a5c568bb.png
[20210803100438508.png]: /images/20220829/9999326b5ca246d788f3c9b5bff2f669.png
[20210803100647355.png]: /images/20220829/a434d17a7d6a480eaff700e131f22daf.png
[20210803100737600.png]: /images/20220829/9cc7873e597b4e068277179a9f9d7f1b.png
[20210803101123198.png]: /images/20220829/52e3ab52b328477698a3b460fa8179df.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 5]: /images/20220829/57279f6a715248f7a2f58366be31431b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 6]: /images/20220829/3fdda0d0bca04770b67999905fb88ca3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 7]: /images/20220829/865f8a180ecc433e82914fe63244a92c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 8]: /images/20220829/59ffb11fa188460fa7f93cebe6207ac9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 9]: /images/20220829/eb04301ba22e4a799f25ecef60854ede.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 10]: /images/20220829/de4d326d5677422aa232c11ffaa22c7d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 11]: /images/20220829/0984979fba5646e8b570c5f251291ae8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 12]: /images/20220829/b710bf6aa7b54bf4a7025081aaeab34f.png
[20210803103149473.png]: /images/20220829/1c4e8c67c8be47d1a273cf101bd53e8a.png
[20210803103328471.png]: /images/20220829/44677d7dc3e54a82ab9890cf0488da68.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 13]: /images/20220829/2aef258466194bc691f3bfd84df3582b.png
[20210803103936963.png]: /images/20220829/0beac4f63cb14b9b9e69af3f834270fb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 14]: /images/20220829/76e14d750bf649f7b01cb5e4554f72ef.png
[20210803104432145.png]: /images/20220829/99907c4e686142bf85d9e6ee0e9abef6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 15]: /images/20220829/172779a7d7314c429f0f9e629227741c.png
[202108031049418.png]: /images/20220829/417e560cd5994cc88867e1fa3ce35e1d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 16]: /images/20220829/bdb1eea2662d48a48f50d35f1ec5d2de.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 17]: /images/20220829/511c2a01a09e498c9cd41130d12924a5.png
[20210803113433626.png]: /images/20220829/6327b355ad4645db988eba8d867f5601.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 18]: /images/20220829/b8daf736626c4c768940d94e0fb1d20f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 19]: /images/20220829/68a5131f5df94c9987f822e23677b08e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 20]: /images/20220829/f79671be541146689fcc466f176f4b98.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 21]: /images/20220829/09b0d811abf94cb19f89887197b21701.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 22]: /images/20220829/af9670f48ae345e196143dec83773292.png
[20210804094054929.png]: /images/20220829/b2ea58e2b1a34224a54e195fb70a4a75.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 23]: /images/20220829/df82e1e79fcb4371afe9efd28f70732a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 24]: /images/20220829/a5e4a9ce0cde439fa51751eafad73422.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 25]: /images/20220829/a868caad93db4f98a64f6df2527660f6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 26]: /images/20220829/f95d03c1086b472ea4661333814f73e1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 27]: /images/20220829/6fe116ec3fb044b9b0a0c04e3ee18207.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 28]: /images/20220829/91debd9023164e8bbdc9e0caa31240e8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 29]: /images/20220829/c4131de636ce4652bf8ace41c27a3112.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 30]: /images/20220829/ef1fb6ae5a5848e8a604d109e2b965f2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 31]: /images/20220829/a8f316e7ddf24bc8add3f6938de6b41b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 32]: /images/20220829/905aa6c3f8b140a2bc8e09b3641b3ba7.png
[20210804102459639.png]: /images/20220829/2b8ff0747315433387e3fc03c02c41c4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 33]: /images/20220829/a330f1d6bd3840dc844007fb0995057e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 34]: /images/20220829/3d6505404c304f959d313efa662c9278.png