linux应急响应基础和常用命令

linux应急响应

linux应急响应基础和常用命令基于linux系统本身进行应急响应。

系统基础信息获取

获取linux服务器基本信息

命令：

uname -a

内存cpu信息

cat /proc/cpuinfo
cat /proc/meminfo
lscpu
free -m
lsmod  #查看载入的模块信息

进程查看

动态进程查看

top #动态查看进程
ps -ef  #静态查询进程

用户信息排查

查询用户信息

cat /etc/passwd

排查问题用户

常见排查点：
排查用户主要排查三个东西，超级用户权限类似于windows影子用户，查询可以登录的用户和空口令的账户

排查空口令用户

awk -F: ‘{if($3==0)print $1}’ /etc/passwd

排查可以登录的用户，是否存在不熟悉用户

cat /etc/passwd |grep '/bin/bash'

查询空口令的用户

awk -F:  ‘length($2)==0 {print $1}’ /etc/passwd

排查用户登录相关

查看错误的登录信息，这个虚拟机是刚刚安装的没有内容

lastb

最后登录信息

lastlog

最近的登录日日志

last

who当前登录状态

进程和网络排查

上面的查询进程top和ps -ef

排查网络连接状态

查询网络连接状态

netstat 

常用命令

netstat -anptu

详细命令

netstat –help

简单案例分析

本机启动一个python的httpserver，假设是攻击者的外联，外联状态一般为（establish）

python -m SimpleHTTPServer

lsof -p PID 查询详细进程信息

lsof -p 13122

如果有恶意程序的话直接

Kill -9 PID(进程号)
这样就可以直接关闭进程

查看进程详细信息，发现没有在监听8000端口了，也没有python进程了。

敏感文件排查

常见的敏感文件路径有/tmp下、~/.ssh、、/etc/ssh还有web根路径和web上传路径等等。

find命令查找可疑文件

常用命令find命令

常用参数
find -type f/l/d 查找文件类型、链接类型、类型

根据修改，访问，创建时间来查询文件
-mtime -n +n 修改文件的时间范围 -n 为几天内， +n 指的是几天前。
-atime -n +n 文件访问时间范围 -n 为几天内， +n 指的是几天前。
-ctime -n +n 创建文件时间范围 -n 为几天内， +n 指的是几天前。

案例：
查询最近10分钟内修改的sh文件

find / -mmin -10 -type f -name "*.sh" 2>/dev/null

列出说有文件并按时间排序

ls -alt 

stat  #文件名可以查看文件详细修改创建访问时间

查询uid权限文件（uid权限文件可用于，权限提升）

find  / -type f -perm -04000 2>/dev/null
find  / -type f -perm -04000 -ls -uid 0  2>/dev/null

还可以ls -alh查询文件，如果是最近被修改的或者文件大小异常结合日志判断很有可能是木马（我这里没有，展示命令）

ls -alh /bin

日志排查

常见日志目录

Linux下常见的日志，linux的日志一般存放在”/var/log” 目录下
常见的日志
/var/log/cron 计划任务日志
/var/log/wtmp 登录日志，也就是last
/var/log/message 系统启动的错误日志
/var/log/lastlog 记录登录的用户日志，也就是lastlog命令
/var/log/secure 记录输入账号密码登录的日志
/var/log/faillog 记录登录失败的日志

常见的其他服务日志
/var/spool/mail 邮件日志

网站日志
Tomcat日志
在tomcat安装目录下的/log

Nginx日志
/var/log/nginx/access.log

Apache日志
/var/log/httpd/access.log
/var/log/apache/ access.log
/var/log/apache2/ access.log
/var/log/httpd-access.log

数据库日志
Mysql默认路径在
/var/log/mysql/
如果没在可以使用 show variables like ‘genneral’ 命令查找日志路径

Oracle数据默认路径子啊
$ORACLE/rdbms/log 目录下

除了cat查看日志外还可以使用tail 、head、awk和grep等命令进行查找和检索。

流量分析

tcpdump抓去网络流量

使用tcpdump命令进行抓包
我的这里的网卡名称为：ens33

案例抓取ens33 网卡所有的流量保存到 test.cap 文件中

tcpdump -i ens33 -w test.cap

后面可以使用wireshark和科来对数据包进行流量分析。

参考上一篇文章：windows应急响应基础
https://blog.csdn.net/qq_41690468/article/details/135045207

恶意文件、病毒

webshell查杀

D盾_webshell查杀

http://www.d99net.net/

百度WEBDIR+在线查杀

https://scanner.baidu.com/

河马

https://www.shellpub.com/

Web Shell Detector

官方网站：http://www.shelldetector.com/
github项目地址：https://github.com/emposha/PHP-Shell-Detector

长亭牧云CloudWalker

在线查杀demo：https://webshellchop.chaitin.cn/
github项目地址：https://github.com/chaitin/cloudwalker

深度学习模型检测PHP Webshell

http://webshell.cdxy.me/

PHP Malware Finder

github项目地址：https://github.com/jvoisin/php-malware-finder

findWebshell

github项目地址：https://github.com/he1m4n6a/findWebshell

在线webshell查杀工具

http://tools.bugscaner.com/killwebshell/

杀毒软件

• ClamAV - 具有GUI的开源免费防病毒扫描程序
• rkhunter - 基于行为的rootkit扫描，仅支持命令行
• sophos - 对单一用户免费，扫描并清理恶意程序，仅支持命令行
• firetools - 具有GUI的沙盒软件，能够有效预防恶意网络脚本
• qubes - 致力于尽可能保护计算机安全的发行版本