常承當著關鍵任務的Unix操作系統,經常是很多的入侵者攻擊的首選目標。於是檢測入侵、保護系統安全是管理員的最為重要的任務之一。在沒有其它工具幫助的情況下,我們來學習如何檢查入侵吧。
檢查Unix操作系統密碼文件
首先從明顯的入手,查看一下passwd文件,ls –l /etc/passwd查看文件修改的日期。
輸入命令 awk –F:’$3==0 {print $1}’ /etc/passwd來檢查一下passwd文件中有哪些特權用戶,系統中uid為0的用戶都會被顯示出來。順便再檢查一下系統裡有沒有空口令帳戶:awk –F: ‘length($2)==0 {print $1}’ /etc/shadow
查看一下進程,看看有沒有奇怪的進程
重點查看進程:ps –aef | grep inetd
inetd是Unix操作系統的守護進程,正常的inetd的pid都比較靠前,如果你看到輸出了一個類似inetd –s /tmp/.xxx之類的進程,著重看inetd –s後面的內容。
在正常情況下,LINUX系統中的inetd服務後面是沒有-s參數的,當然也沒有用inetd去啟動某個文件;而solaris系統中也僅僅是inetd –s,同樣沒有用inetd去啟動某個特定的文件;如果你使用ps命令看到inetd啟動了某個文件,而你自己又沒有用inetd啟動這個文件,那就說明已經有人入侵了你的系統,並且以root權限起了一個簡單的後門。
輸入ps –aef 查看輸出信息,尤其注意有沒有以./xxx開頭的進程。
一旦發現異樣的進程,經檢查為入侵者留下的後門程序,立即運行kill –9 pid 開殺死該進程,然後再運行ps –aef查看該進程是否被殺死;一旦此類進程出現殺死以後又重新啟動的現象,則證明Unix操作系統被人放置了自動啟動程序的腳本。
這個時候要進行仔細查找:find / -name 程序名 –print,假設系統真的被入侵者放置了後門,根據找到的程序所在的目錄,Unix操作系統下隱藏進程有的時候通過替換ps文件來做,檢測這種方法涉及到檢查文件完整性,一會我們再討論這種方法。
關於Unix操作系統檢查是否被入侵的一些知識就介紹到這裡,希望大家看完之後更加的熟練運用。