快捷導(dǎo)航

Linux下查找后門程序 CentOS 查后門程序的shell腳本

更新時(shí)間：2014年09月23日 16:58:56 投稿：mdxy-dxy

這篇文章主要介紹了Linux下查找后門程序 CentOS 查后門程序的shell腳本,需要的朋友可以參考下

每個(gè)進(jìn)程都會(huì)有一個(gè)PID，而每一個(gè)PID都會(huì)在/proc目錄下有一個(gè)相應(yīng)的目錄，這是linux（當(dāng)前內(nèi)核2.6）系統(tǒng)的實(shí)現(xiàn)。
一般后門程序，在ps等進(jìn)程查看工具里找不到，因?yàn)檫@些常用工具甚至系統(tǒng)庫(kù)在系統(tǒng)被入侵之后基本上已經(jīng)被動(dòng)過手腳（網(wǎng)上流傳著大量的rootkit。假如是內(nèi)核級(jí)的木馬，那么該方法就無(wú)效了）。
因?yàn)樾薷南到y(tǒng)內(nèi)核相對(duì)復(fù)雜（假如內(nèi)核被修改過，或者是內(nèi)核級(jí)的木馬，就更難發(fā)現(xiàn)了），所以在/proc下，基本上還都可以找到木馬的痕跡。

思路：

在/proc中存在的進(jìn)程ID，在 ps 中查看不到（被隱藏），必有問題。

#!/bin/bash

str_pids="`ps -A | awk '{print $1}'`";
for i in /proc/[[:digit:]]*;
do
	if echo "$str_pids" | grep -qs `basename "$i"`;
	then
		:
	else
		echo "Rootkit's PID: $(basename "$i")";
	fi
done

討論：

檢查系統(tǒng)(Linux)是不是被黑，其復(fù)雜程度主要取決于入侵者“掃尾工作”是否做得充足。對(duì)于一次做足功課的入侵來(lái)說(shuō)，要想剔除干凈，將是一件分精密、痛苦的事情，通常這種情況，需要用專業(yè)的第三方的工具（有開源的，比如tripwire，比如aide）來(lái)做這件事情。
而專業(yè)的工具，部署、使用相對(duì)比較麻煩，也并非所有的管理員都能熟練使用。

實(shí)際上Linux系統(tǒng)本身已經(jīng)提供了一套“校驗(yàn)”機(jī)制，在檢查系統(tǒng)上的程序沒有被修改。比如rpm包管理系統(tǒng)提供的 -V 功能：
rpm -Va
即可校驗(yàn)系統(tǒng)上所有的包，輸出與安裝時(shí)被修改過的文件及相關(guān)信息。但是rpm系統(tǒng)也可能被破壞了，比如被修改過。

您可能感興趣的文章:

后門程序

相關(guān)文章

Shell中的循環(huán)語(yǔ)句for、while、until實(shí)例講解
這篇文章主要介紹了Shell中的循環(huán)語(yǔ)句for、while、until實(shí)例講解,簡(jiǎn)單清晰明了,非常不錯(cuò)的教程,需要的朋友可以參考下
2014-06-06
shell腳本多實(shí)例部署nginx的詳細(xì)教程
周一今天給大家分享shell腳本多實(shí)例部署nginx的詳細(xì)教程，文章通過實(shí)例代碼腳本給大家詳細(xì)介紹，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友參考下吧
2021-10-10
Shell命令批量殺死進(jìn)程的方法實(shí)現(xiàn)
本文主要介紹了Shell命令批量殺死進(jìn)程的方法實(shí)現(xiàn)，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧
2023-06-06
關(guān)于Linux下動(dòng)態(tài)查看實(shí)時(shí)日志的命令
這篇文章主要介紹了Linux下動(dòng)態(tài)查看實(shí)時(shí)日志的命令,在Linux中實(shí)時(shí)顯示文件內(nèi)容的常用命令是tail命令，tail命令是實(shí)時(shí)顯示日志文件的最常用解決方案，本文給大家介紹的非常詳細(xì)，需要的朋友可以參考下
2022-09-09
Linux中Vi和Vim編輯器用法詳解
本文詳細(xì)講解了Linux中Vi和Vim編輯器的用法，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧
2022-06-06
強(qiáng)制刪除rpm包的方法
本文給大家介紹強(qiáng)制刪除rpm包，對(duì)rpm包刪除方法感興趣的朋友可以一起學(xué)習(xí)
2015-11-11
shell腳本如何獲取第幾行第幾列的命令 awk sed
這篇文章主要介紹了shell腳本如何獲取第幾行第幾列的命令 awk sed,本文給大家介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友參考下吧
2023-11-11
shell腳本實(shí)現(xiàn)定時(shí)檢查應(yīng)用狀態(tài)步驟
這篇文章主要為大家介紹了shell腳本實(shí)現(xiàn)定時(shí)檢查應(yīng)用狀態(tài)步驟詳解,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進(jìn)步,早日升職加薪
2023-08-08
一篇教會(huì)你寫90%的shell腳本(入門小結(jié))
這篇文章主要介紹了一篇教會(huì)你寫90%的shell腳本，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧
2020-05-05
linux下2個(gè)檢查tcp連接的命令
這篇文章主要介紹了linux下2個(gè)檢查tcp連接的命令,需要的朋友可以參考下
2016-08-08