簡(jiǎn)單的Linux查找后門思路和shell腳本分享
每個(gè)進(jìn)程都會(huì)有一個(gè)PID，而每一個(gè)PID都會(huì)在/proc目錄下有一個(gè)相應(yīng)的目錄，這是linux（當(dāng)前內(nèi)核2.6）系統(tǒng)的實(shí)現(xiàn)。
一般后門程序，在ps等進(jìn)程查看工具里找不到，因?yàn)檫@些常用工具甚至系統(tǒng)庫(kù)在系統(tǒng)被入侵之后基本上已經(jīng)被動(dòng)過手腳（網(wǎng)上流傳著大量的rootkit。假如是內(nèi)核級(jí)的木馬，那么該方法就無效了）。
因?yàn)樾薷南到y(tǒng)內(nèi)核相對(duì)復(fù)雜（假如內(nèi)核被修改過，或者是內(nèi)核級(jí)的木馬，就更難發(fā)現(xiàn)了），所以在/proc下，基本上還都可以找到木馬的痕跡。
思路：
在/proc中存在的進(jìn)程ID，在 ps 中查看不到（被隱藏），必有問題。
str_pids="`ps -A | awk '{print $1}'`";
for i in /proc/[[:digit:]]*;
do
if echo "$str_pids" | grep -qs `basename "$i"`;
then
:
else
echo "Rootkit's PID: $(basename "$i")";
fi
done
討論：
檢查系統(tǒng)(Linux)是不是被黑，其復(fù)雜程度主要取決于入侵者“掃尾工作”是否做得充足。對(duì)于一次做足功課的入侵來說，要想剔除干凈，將是一件分精密、痛苦的事情，通常這種情況，需要用專業(yè)的第三方的工具（有開源的，比如tripwire，比如aide）來做這件事情。
而專業(yè)的工具，部署、使用相對(duì)比較麻煩，也并非所有的管理員都能熟練使用。
實(shí)際上Linux系統(tǒng)本身已經(jīng)提供了一套“校驗(yàn)”機(jī)制，在檢查系統(tǒng)上的程序沒有被修改。比如rpm包管理系統(tǒng)提供的 -V 功能：
即可校驗(yàn)系統(tǒng)上所有的包，輸出與安裝時(shí)被修改過的文件及相關(guān)信息。但是rpm系統(tǒng)也可能被破壞了，比如被修改過。
- linux find下如何統(tǒng)計(jì)一個(gè)目錄下的文件個(gè)數(shù)以及代碼總行數(shù)的命令
- linux的一個(gè)find命令配合rm刪除某天前的文件方法
- linux使用find和crontab命令定期清理過期文件
- 淺談Linux下通過find命令進(jìn)行rm文件刪除的小技巧
- Linux中文件查找方法大全
- linux c 查找使用庫(kù)的cflags與libs的方法詳解
- Linux查找包含指定文字的文件(linux查找指定文件)
- Linux下如何使用grep命令查找?guī)в衪ab（退格）的字符
- Linux中文件查找技術(shù)大全
- Linux中find命令的用法入門
相關(guān)文章
本文講解Linux內(nèi)核鏈表實(shí)現(xiàn)的過程，說了鏈表的定義及初始化宏定義、插入操作和刪除操作等內(nèi)容，詳細(xì)看下面2013-11-11
linux 獲取某個(gè)日期對(duì)應(yīng)的月末日期方法
今天小編就為大家分享一篇linux 獲取某個(gè)日期對(duì)應(yīng)的月末日期方法，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過來看看吧2018-06-06
在這篇基本命令行教程中,你將學(xué)習(xí)在 Linux 終端重命名文件和目錄的各種方法,文中通過代碼示例講解非常詳細(xì),對(duì)學(xué)習(xí)Linux重命名文件和目錄非常有幫助,需要的朋友跟著小編一起來學(xué)習(xí)吧2024-01-01
Shell實(shí)現(xiàn)判斷進(jìn)程是否存在并重新啟動(dòng)腳本分享
這篇文章主要介紹了Shell實(shí)現(xiàn)判斷進(jìn)程是否存在并重新啟動(dòng)腳本分享,本文給出了兩個(gè)實(shí)現(xiàn)腳本,分簡(jiǎn)潔版和詳細(xì)版,需要的朋友可以參考下2014-09-09
處理JSON最強(qiáng)命令jq使用場(chǎng)景
jq命令是處理json字符串的神器,?主要用于獲取JSON屬性/簡(jiǎn)單重組JSON字符串，本章詳細(xì)介紹jq的主要應(yīng)用場(chǎng)景，感興趣的朋友跟隨小編一起看看吧2023-07-07
這篇文章主要介紹了使用shc工具加密shell腳本詳解,Shc可以用來對(duì)shell腳本進(jìn)行加密，可以將shell腳本轉(zhuǎn)換為一個(gè)可執(zhí)行的二進(jìn)制文件,需要的朋友可以參考下2014-12-12
shell腳本配合zabbix實(shí)現(xiàn)tomcat的故障自愈功能
這篇文章主要介紹了shell腳本配合zabbix實(shí)現(xiàn)tomcat的故障自愈,服務(wù)實(shí)現(xiàn)自愈的方式有通過shell腳本+定時(shí)任務(wù)的方式，藍(lán)鯨Pass故障自愈平臺(tái)，shell腳本+zabbix觸發(fā)器動(dòng)作，本文給大家詳細(xì)介紹，需要的朋友可以參考下2022-03-03
利用Shell腳本循環(huán)讀取文件中每一行的方法詳解
讀取文件是我們?cè)谌粘９ぷ髦薪?jīng)常遇到的一個(gè)需求，下面這篇文章主要給大家介紹了關(guān)于利用Shell腳本循環(huán)讀取文件中每一行的方法，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)下吧。2017-09-09
本文主要介紹了利用shell命令刪除指定的文件的方法，文中通過示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2022-02-02
下面小編就為大家?guī)硪黄猆buntu用戶之間相互切換方法(推薦)。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2017-03-03