【应急响应】Linux入侵排查思路
1、用户信息文件
2、影子文件 /etc/shadow
依次对应的字段为：
3、登录信息
入侵排查：
1、查询特权用户特权用户(uid 为0)
2、查询可以远程登录的帐号信息
3、除root帐号外，其他帐号是否存在sudo权限。如非管理需要，普通帐号应删除sudo权限
4、禁用或删除多余及可疑的帐号
1|2历史命令
基本使用：
通过.bash_history查看帐号执行过的系统命令
1、root的历史命令
2、打开/home各帐号目录下的.bash_history，查看普通帐号的历史命令，为历史的命令增加登录的IP地址、执行命令时间等信息：
1）保存1万条命令
2）在/etc/profile的文件尾部添加如下行数配置信息：
3）source /etc/profile让配置生效
生成效果：
3、历史操作命令的清除：
但此命令并不会清除保存在文件中的记录，因此需要手动删除.bash_profile文件中的记录。
入侵排查：
进入用户目录下
1|3端口
使用netstat 网络连接命令，分析可疑端口、IP、PID
查看下pid所对应的进程文件路径
1|4进程
使用ps命令，分析进程
1|5开机启动项
基本使用：
系统运行级别示意图：
| 运行级别 | 含义 |
| 0 | 关机 |
| 1 | 单用户模式，可以想象为windows的安全模式，主要用于系统修复，用于系统维护，禁止远程登陆 |
| 2 | 不完全的命令行模式，不含NFS服务 |
| 3 | 完全的命令行模式，就是标准字符界面 |
| 4 | 系统保留 |
| 5 | 图形模式 |
| 6 | 系统正常关闭并重启，默认运行级别不能设为6，否则不能正常启动 |
查看运行级别命令
系统默认允许级别
开机启动配置文件
例子:当我们需要开机启动自己的脚本时，只需要将可执行脚本丢在/etc/init.d目录下，然后在/etc/rc.d/rc*.d中建立软链接即可
此处sshd是具体服务的脚本文件，S100ssh是其软链接，S开头代表加载时自启动；如果是K开头的脚本文件，代表运行级别加载时需要关闭的。
入侵排查：
启动项文件：
1|6定时任务
基本使用
1、利用crontab创建计划任务
2、利用anacron实现异步定时任务调度
使用案例
当机器在 backup.sh 期望被运行时是关机的，anacron会在机器开机十分钟之后运行它，而不用再等待7天。
入侵排查
重点关注以下目录中是否存在恶意脚本
查看目录下所有文件
1|7服务
服务自启动
第一种修改方法：
第二种修改方法：
第三种修改方法：
入侵排查
1、查询已安装的服务：
RPM包安装的服务
系统在3与5级别下的启动项：
中文环境
英文环境
源码包安装的服务
1|8系统日志
日志默认存放位置：/var/log/
查看日志配置情况：
| 日志文件 | 说明 |
| /var/log/cron | 记录了系统定时任务相关的日志 |
| /var/log/cups | 记录打印信息的日志 |
| /var/log/dmesg | 记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息 |
| /var/log/mailog | 记录邮件信息 |
| /var/log/message | 记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件 |
| /var/log/btmp | 记录错误登录日志，这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看 |
| /var/log/lastlog | 记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接vi，而要使用lastlog命令查看 |
| /var/log/wtmp | 永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需要使用last命令来查看 |
| /var/log/utmp | 记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who,users等命令来查询 |
| /var/log/secure | 记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中 |
日志分析技巧：
1、定位有多少IP在爆破主机的root帐号：
定位有哪些IP在爆破：
爆破用户名字典是什么？
2、登录成功的IP有哪些：
登录成功的日期、用户名、IP：
3、增加一个用户kali日志：
4、删除用户kali日志：
5、su切换用户：
sudo授权执行:
2|0工具篇
2|1Rootkit查杀
- chkrootkit
使用方法：
- rkhunter
网址：http://rkhunter.sourceforge.net
使用方法：
2|2病毒查杀
- Clamav
ClamAV的官方下载地址为：http://www.clamav.net/download.html
安装方式一：
1、安装zlib：
2、添加用户组clamav和组成员clamav：
3、安装Clamav
4、配置Clamav
5、ClamAV 使用：
安装方式二：
#安装
#更新病毒库
#扫描方法
#扫描并杀毒
#查看日志发现
2|3webshell查杀
linux版：
河马webshell查杀：
深信服Webshell网站后门检测工具：
2|4RPM check检查
系统完整性可以通过rpm自带的-Va来校验检查所有的rpm软件包，查看哪些命令是否被替换了：
如果一切均校验正常将不会产生任何输出，如果有不一致的地方，就会显示出来，输出格式是8位长字符串，每个字符都用以表示文件与RPM数据库中一种属性的比较结果 ，如果是. (点) 则表示测试通过。
验证内容中的8个信息的具体内容如下：
| s | 文件大小是否改变 |
| M |
|
| 5 |
|
| D |
|
| L |
|
| U |
|
| G |
|
| T |
|
如果命令被替换了，如何去还原回来：
文件提取还原过程：
