排查Ubuntu 20.04.6中的恶意启动项指南

排查Ubuntu 20.04.6中的恶意启动项指南

要排查Ubuntu 20.04.6系统中的恶意启动项，可以按照以下步骤进行：

1. 检查系统启动服务

查看systemd服务

 

systemctl list-unit-files --type=service --state=enabled

检查已启用的服务中是否有可疑项目。

查看rc.local文件（如果存在）

 

cat /etc/rc.local

2. 检查用户级自动启动项

检查全局启动项

 

ls -la /etc/xdg/autostart/
ls -la /etc/init.d/

检查当前用户的启动项

 

ls -la ~/.config/autostart/
ls -la ~/.local/share/applications/

3. 检查cron任务

查看系统cron任务

 

ls -la /etc/cron.*
cat /etc/crontab

查看用户cron任务

 

crontab -l

4. 检查环境变量和配置文件

检查bash启动文件

 

cat ~/.bashrc
cat ~/.bash_profile
cat ~/.profile

检查系统环境变量

 

cat /etc/environment

5. 检查网络相关启动项

查看网络管理器连接

 

nmcli connection show

检查hosts文件

 

cat /etc/hosts

6. 使用工具扫描

安装并运行chkrootkit

 

sudo apt install chkrootkit
sudo chkrootkit

安装并运行rkhunter

 

sudo apt install rkhunter
sudo rkhunter --check

7. 检查最近修改的文件

 

sudo find / -type f -mtime -30 -exec ls -la {} \;

8. 检查可疑进程

 

ps aux | grep -i "可疑关键词"

9. 检查内核模块

 

lsmod

10. 检查登录日志

 

last
cat /var/log/auth.log | grep -i "accepted"

注意事项

1. 在执行任何删除操作前，先备份相关文件
2. 对不熟悉的项目先进行搜索确认
3. 定期更新系统和安全软件
4. 考虑使用隔离环境进行分析

如果发现确实存在恶意启动项，建议在清除后更改所有密码并检查系统完整性。