簡(jiǎn)單的Linux查找后門思路和shell腳本分享
每個(gè)進(jìn)程都會(huì)有一個(gè)PID，而每一個(gè)PID都會(huì)在/proc目錄下有一個(gè)相應(yīng)的目錄，這是linux（當(dāng)前內(nèi)核2.6）系統(tǒng)的實(shí)現(xiàn)。
一般后門程序，在ps等進(jìn)程查看工具里找不到，因?yàn)檫@些常用工具甚至系統(tǒng)庫(kù)在系統(tǒng)被入侵之后基本上已經(jīng)被動(dòng)過手腳（網(wǎng)上流傳著大量的rootkit。假如是內(nèi)核級(jí)的木馬，那么該方法就無(wú)效了）。
因?yàn)樾薷南到y(tǒng)內(nèi)核相對(duì)復(fù)雜（假如內(nèi)核被修改過，或者是內(nèi)核級(jí)的木馬，就更難發(fā)現(xiàn)了），所以在/proc下，基本上還都可以找到木馬的痕跡。
思路：
在/proc中存在的進(jìn)程ID，在 ps 中查看不到（被隱藏），必有問題。
str_pids="`ps -A | awk '{print $1}'`";
for i in /proc/[[:digit:]]*;
do
if echo "$str_pids" | grep -qs `basename "$i"`;
then
:
else
echo "Rootkit's PID: $(basename "$i")";
fi
done
討論：
檢查系統(tǒng)(Linux)是不是被黑，其復(fù)雜程度主要取決于入侵者“掃尾工作”是否做得充足。對(duì)于一次做足功課的入侵來(lái)說(shuō)，要想剔除干凈，將是一件分精密、痛苦的事情，通常這種情況，需要用專業(yè)的第三方的工具（有開源的，比如tripwire，比如aide）來(lái)做這件事情。
而專業(yè)的工具，部署、使用相對(duì)比較麻煩，也并非所有的管理員都能熟練使用。
實(shí)際上Linux系統(tǒng)本身已經(jīng)提供了一套“校驗(yàn)”機(jī)制，在檢查系統(tǒng)上的程序沒有被修改。比如rpm包管理系統(tǒng)提供的 -V 功能：
即可校驗(yàn)系統(tǒng)上所有的包，輸出與安裝時(shí)被修改過的文件及相關(guān)信息。但是rpm系統(tǒng)也可能被破壞了，比如被修改過。
- linux find下如何統(tǒng)計(jì)一個(gè)目錄下的文件個(gè)數(shù)以及代碼總行數(shù)的命令
- linux的一個(gè)find命令配合rm刪除某天前的文件方法
- linux使用find和crontab命令定期清理過期文件
- 淺談Linux下通過find命令進(jìn)行rm文件刪除的小技巧
- Linux中文件查找方法大全
- linux c 查找使用庫(kù)的cflags與libs的方法詳解
- Linux查找包含指定文字的文件(linux查找指定文件)
- Linux下如何使用grep命令查找?guī)в衪ab（退格）的字符
- Linux中文件查找技術(shù)大全
- Linux中find命令的用法入門
相關(guān)文章
find命令用來(lái)在指定目錄下查找文件，本文給大家整理了關(guān)于find命令的相關(guān)知識(shí)，感興趣的朋友跟隨小編一起看看吧2022-12-12
本文簡(jiǎn)要介紹了下shell入門的一些用法，具有很好的參考價(jià)值。下面跟著小編一起來(lái)看下吧2017-04-04
關(guān)于"Argument?list?too?long”參數(shù)列表過長(zhǎng)的四種解決方法
Linux下報(bào)錯(cuò)“命令參數(shù)列表過長(zhǎng)”，在用mv命令一次移動(dòng)3萬(wàn)多個(gè)文件時(shí)失敗了，原始命令類似這樣：”mv?$(ls?dir1)?dir2“，錯(cuò)誤提示的中心思想是：”你這參數(shù)也太TM多了吧“，本文給大家分享四種解決”Argument?list?too?long”參數(shù)列表過長(zhǎng)，感興趣的朋友一起看看吧2023-02-02
NetCat工具命令介紹及遠(yuǎn)程文件傳輸實(shí)現(xiàn)
這篇文章主要為大家介紹了NetCat工具命令的介紹以及遠(yuǎn)程文件傳輸實(shí)現(xiàn)，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪2022-03-03
linux shell字符串內(nèi)置的常用操作(獲取長(zhǎng)度、查找、替換)
在編寫shell程序時(shí)，經(jīng)常會(huì)涉及到字符串相關(guān)操作。有許多命令語(yǔ)句，如awk,sed都能夠做字符串各種操作。 事實(shí)上shell內(nèi)置一系列操作符號(hào)，能夠達(dá)到相似效果，使用內(nèi)部操作符會(huì)省略啟動(dòng)外部程序等時(shí)間，因此速度會(huì)很的快。如果內(nèi)置的操作符能夠做到的，優(yōu)先使用內(nèi)置的2015-12-12
這篇文章主要介紹了Linux常用ls, alias基礎(chǔ)命令詳解,ls命令 的作用是列舉目錄文件信息，alias查看定義的別名，具體內(nèi)容詳情大家參考下本文2018-05-05
這篇文章主要介紹了Shell中的數(shù)學(xué)運(yùn)算使用，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2021-03-03
這篇文章主要給大家介紹了關(guān)于shell如何通過正則匹配ip地址的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家學(xué)習(xí)或者使用shell具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2018-11-11
Linux 中 RPM包 安裝 查詢 卸載命令小結(jié)及yum命令詳解
RPM 的全稱為Redhat Package Manager ，是由Redhat 公司提出的，用于管理Linux 下軟件包的軟件。Linux 安裝時(shí)，除了幾個(gè)核心模塊以外，其余幾乎所有的模塊均通過RPM 完成安裝。RPM 有五種操作模式，分別為：安裝、卸載、升級(jí)、查詢和驗(yàn)證2015-11-11
這篇文章主要介紹了Linux 中的通配符詳解及實(shí)例的相關(guān)資料,希望通過本文能掌握Linux 通配符的知識(shí)，需要的朋友可以參考下2017-09-09