015服务器被黑检查命令

服务器被黑检查命令

0.查看服务器是否有后门

iptraf   看里面是不是UDP包发的很多，如果是，基本都被人装了后门
yum install iptraf

1.检查帐户

last | more   查看正在登录的用户
pkill -kill -t pts/4   踢掉异常登录的账户
less /etc/passwd
grep :0: /etc/passwd（检查是否产生了新用户，和UID、GID是0的用户）
ls -l /etc/passwd（查看文件修改日期）
awk -F: ‘$3= =0 {print $1}’ /etc/passwd（查看是否存在特权用户）
awk -F: ‘length($2)= =0 {print $1}’ /etc/shadow（查看是否存在空口令帐户）

2.检查日志

last（查看正常情况下登录到本机的所有用户的历史记录）
登录终端时注意 ”entered promiscuous mode”   进入混合模式
tail -f /var/log/messages

3.检查进程

ps -aux（注意UID是0的）
lsof -p pid（察看该进程所打开端口和文件）
cat /etc/inetd.conf | grep -v “^#”（检查守护进程）
检查隐藏进程
ps -ef|awk ‘{print }’|sort -n|uniq >1
ls /porc |sort -n|uniq >2
diff 1 2
```

####4.检查网络
```
$ netstat -nl  运行的端口
lsof -i :48988 查看端口对应的进程
ip link | grep PROMISC（正常网卡不该在promisc模式，可能存在sniffer）
lsof –i
netstat –nap（察看不正常打开的TCP/UDP端口)
arp –a
vi /etc/hosts.deny  拒绝IP
1.查看80端口连接数：
netstat -nat|grep -i "80" |wc -l
2.对连接的IP按连接数量进行排序:
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
3.用tcpdump嗅探80端口的访问看看谁最高:
tcpdump -i eth0 -tnn dst port 80 -c 1000
4.iptables屏蔽ip：
屏蔽单个IP的命令是 iptables -I INPUT -s 123.45.6.7 -j DROP
封整个段即从123.0.0.1到123.255.255.254的命令 iptables -I INPUT -s 123.0.0.0/8 -j DROP
封IP段即从123.45.0.1到123.45.255.254的命令 iptables -I INPUT -s 124.45.0.0/16 -j DROP
封IP段即从123.45.6.1到123.45.6.254的命令是 iptables -I INPUT -s 123.45.6.0/24 -j DROP
```
####5.检查计划任务
```
注意root和UID是0的schedule
crontab –u root –l
cat /etc/crontab
ls /etc/cron.*
```
####6.检查后门
```
cat /etc/crontab
ls /var/spool/cron/
cat /etc/rc.d/rc.local
ls /etc/rc.d
ls /etc/rc3.d
find / -type f -perm 4000
```


####7.检查系统服务
```
chkconfig
rpcinfo -p（查看RPC服务）
检查chkconfig 列表，防止一些程序加入到开机自启动中
chkconfig --list
```

####8.检查文件
```
find / -uid 0 –perm -4000 –print
find / -size +10000k –print
find / -name “…” –print
find / -name “.. ” –print
find / -name “. ” –print
find / -name ” ” –print
注意SUID文件，可疑大于10M和空格文件
find / -name core -exec ls -l {} ;（检查系统中的core文件）
检查系统文件完整性
rpm –qf /bin/ls
rpm -qf /bin/login
md5sum –b 文件名
md5sum –t 文件名
```
####9.检查内核模块
```
lsmod
```

####10.检查rootkit
```
rkhunter -c
chkrootkit -q
```
####11.检查RPM
```
rpm –Va
输出格式：
S – File size differs
M – Mode differs (permissions)
5 – MD5 sum differs
D – Device number mismatch
L – readLink path mismatch
U – user ownership differs
G – group ownership differs
T – modification time differs
注意相关的 /sbin, /bin, /usr/sbin, and /usr/bin
```