您现在的位置： Linux教程網 >> UnixLinux > >> Linux基礎 >> 關於Linux

如何編寫自己的Linux安全檢查腳本

因為本人工作中要涉及到很多東西，審計(日志、數據神馬的)、源代碼審計、滲透測試、開發一大堆東西，有些東西，越是深入去做，越會發現，沒有工具或腳本，工作起來是有多麼的坑。

工作的這段時間，自己寫了幾個工具：Web日志分析、linux服務器安全檢查腳本、webshell查殺和webshell文件監控工具，接下來找機會，我會慢慢的都給大家共享出來。

其實我遇到的情況，很多管理員都會遇到，一堆服務器，尤其是linux的，沒辦法像windows那樣便捷，現成的工具也沒有辣麼多，有些工具呢，你還得裝環境，但是，無論是在客戶那裡，還是在自己的服務器上，都不天願意裝一堆環境，純手工檢查吧，有點慢，也枯燥，所以誕生了這個腳本。

腳本大致內容：基本信息統計(IP地址、MAC地址、端口信息、服務信息等)、主機安全檢查(包括等保三級要求主機相關的檢查點)、系統性能統計(暫時未加入分析)、惡意代碼、程序檢查等檢查點。

腳本內容涉及到：

1、查看系統密碼文件修改時間

2、查看是否開啟了ssh服務

3、查看系統SSH遠程訪問設置策略(host.deny拒絕列表)

4、查看shell是否設置超時鎖定策略

5、查看syslog日志審計服務是否開啟

6、查看syslog日志是否開啟外發

7、查看passwd文件中有哪些特權用戶

8、查看系統中是否存在空口令賬戶

9、PHP、JSP、perl、Python、HTML、以及linux下可執行文件內容的檢查

裡面列舉了一些常見webshell、提權EXP、以及Python掃描工具、嗅探工具的特征，如果發現此類相關的文件，則會顯示出來，或者拷貝一份到/tmp/目錄下

例如：能掃描到的linux下提權工具：

一共是172個文件。都可以掃描的到。。。。

其實整個腳本相對起來比較簡單，主要用到的命令為

find / -type

if語句

awk命令

egrep

等命令組成。

比如說awk命令，我們用more或cat命令，讀取某個文件內容，然後通過awk進行篩選和輸出，來顯示我們想要看的東西

例如：

more /etc/login.defs | grep -E "PASS_MAX_DAYS" | grep -v "#" |awk -F' ' '{if($2!=90){print "/etc/login.defs裡面的"$1 "設置的是"$2"天，請管理員改成90天。"}}'

從這裡我們可以看到，通過more來打開/etc/login.defs文件，並查找關鍵字“PASS_MAX_DAYS”，用awk命令，篩選以”為分隔符的內容，用作判斷，如果$2第二個分隔符位置的內容不等於90，則輸出該內容。

同理，任意針對文件內容做篩選的結果，都可以通過這樣的方式去顯示我們想要顯示的內容。

又例如：

echo "查看系統中存在哪些非系統默認用戶"

echo "root:x:“該值大於500為新創建用戶，小於或等於500為系統初始用戶”"

more /etc/passwd |awk -F ":" '{if($3>500){print "/etc/passwd裡面的"$1 "的值為"$3"，請管理員確認該賬戶是否正常。"}}'

echo ------------------------------------------------------------------------

if語句相關：

echo --------------------------------------------------------------------------

echo "檢查系統文件完整性2(MD5檢查)"

echo "該項會獲取部分關鍵文件的MD5值並入庫，默認保存在/etc/md5db中"

echo "如果第一次執行，則會提示md5sum: /sbin/portmap: 沒有那個文件或目錄"

echo "第二次重復檢查時，則會對MD5DB中的MD5值進行匹配，來判斷文件是否被更改過"

file="/etc/md5db"

if [ -e "$file" ]; then md5sum -c /etc/md5db 2>&1;

else

md5sum /etc/passwd >>/etc/md5db

md5sum /etc/shadow >>/etc/md5db

md5sum /etc/group >>/etc/md5db

md5sum /usr/bin/passwd >>/etc/md5db

md5sum /sbin/portmap>>/etc/md5db

md5sum /bin/login >>/etc/md5db

md5sum /bin/ls >>/etc/md5db

md5sum /bin/ps >>/etc/md5db

md5sum /usr/bin/top >>/etc/md5db;

echo ----------------------------------------------------------------------

這裡呢，對部分敏感文件的MD5值做了下驗證，大致思路是，先檢查/etc/md5db是否存在，如果不存在的話，則將所涉及文件的MD5值入庫，並保存到/etc/md5db文件中，當我們第二次對服務器進行檢查時，則會對比兩次的MD5值，如果MD5值發生變化，則會進行提醒。

腳本本身沒什麼復雜的東西，我先貼出部分內容，供大家參考下。

#!/bin/bash

echo " (__)"

echo " (oo)"

echo " /------\/ "

echo " / | || "

echo " * /\---/\ "

echo " ~~ ~~ "

echo "...."Are You Ready?"..."

read key

echo "警告：本腳本只是一個檢查的操作，未對服務器做任何修改，管理員可以根據此報告進行相應的設置。"

echo ---------------------------------------主機安全檢查-----------------------

echo "系統版本"

uname -a

echo --------------------------------------------------------------------------

echo "本機的ip地址是："

ifconfig | grep --color "$[0-9]\{1,3\}\.$\{3\}[0-9]\{1,3\}"

echo --------------------------------------------------------------------------

awk -F":" '{if($2!~/^!|^*/){print "("$1")" " 是一個未被鎖定的賬戶，請管理員檢查是否需要鎖定它或者刪除它。"}}' /etc/shadow

echo --------------------------------------------------------------------------

more /etc/login.defs | grep -E "PASS_MAX_DAYS" | grep -v "#" |awk -F' ' '{if($2!=90){print "/etc/login.defs裡面的"$1 "設置的是"$2"天，請管理員改成90天。"}}'

echo --------------------------------------------------------------------------

more /etc/login.defs | grep -E "PASS_MIN_LEN" | grep -v "#" |awk -F' ' '{if($2!=6){print "/etc/login.defs裡面的"$1 "設置的是"$2"個字符，請管理員改成6個字符。"}}'

echo --------------------------------------------------------------------------

more /etc/login.defs | grep -E "PASS_WARN_AGE" | grep -v "#" |awk -F' ' '{if($2!=10){print "/etc/login.defs裡面的"$1 "設置的是"$2"天，請管理員將口令到期警告天數改成10天。"}}'

echo --------------------------------------------------------------------------

grep TMOUT /etc/profile /etc/bashrc > /dev/null|| echo "未設置登錄超時限制，請設置之，設置方法：在/etc/profile或者/etc/bashrc裡面添加TMOUT=600參數"

echo --------------------------------------------------------------------------

if ps -elf |grep xinet |grep -v "grep xinet";then

echo "xinetd 服務正在運行，請檢查是否可以把xinnetd服務關閉"

else

echo "xinetd 服務未開啟"

echo --------------------------------------------------------------------------

echo "查看系統密碼文件修改時間"

ls -ltr /etc/passwd

echo --------------------------------------------------------------------------

echo "查看是否開啟了ssh服務"

if service sshd status | grep -E "listening on|active $running$"; then

echo "SSH服務已開啟"

else

echo "SSH服務未開啟"

echo --------------------------------------------------------------------------

echo "查看是否開啟了TELNET服務"

if more /etc/xinetd.d/telnetd 2>&1|grep -E "disable=no"; then

echo "TELNET服務已開啟 "

else

echo "TELNET服務未開啟 "

echo --------------------------------------------------------------------------

echo "查看系統SSH遠程訪問設置策略(host.deny拒絕列表)"

if more /etc/hosts.deny | grep -E "sshd: ";more /etc/hosts.deny | grep -E "sshd"; then

echo "遠程訪問策略已設置 "

else

echo "遠程訪問策略未設置 "

echo --------------------------------------------------------------------------

腳本運行截圖

主機安全檢查

惡意程序、代碼檢查

關鍵文件修改時間查看

系統性能檢查

完整腳本代碼