教育网站如何做经营,舟山网站制作公司,深圳+服装+网站建设,广州网站建设设计公司信息因为UNIX系统经常承当着关键任务,所以它经常是***者***的首选目标。于是检测***、保护系统安全是管理员的最为重要的任务之一。那么#xff0c;在没有其它工具帮助的情况下#xff0c;如何去判断系统当前的安全性#xff1f;如何去发现***呢#xff1f;下面给大家介绍一些常… 因为UNIX系统经常承当着关键任务,所以它经常是***者***的首选目标。于是检测***、保护系统安全是管理员的最为重要的任务之一。那么在没有其它工具帮助的情况下如何去判断系统当前的安全性如何去发现***呢下面给大家介绍一些常用到的检查方法 以LINUX和solaris为例 1、检查系统密码文件 首先从明显的入手查看一下passwd文件ls –l /etc/passwd查看文件修改的日期。 输入命令 awk –F:’$30 {print $1}’ /etc/passwd 来检查一下passwd文件中有哪些特权用户系统中uid为0的用户都会被显示出来。顺便再检查一下系统里有没有空口令帐户 awk –F: ‘length($2)0 {print $1}’ /etc/shadow 2、查看一下进程看看有没有奇怪的进程 重点查看进程ps –aef | grep inetd。Inetd是UNIX系统的守护进程正常的inetd的pid都比较靠前如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程着重看inetd –s后面的内容。在正常情况下LINUX系统中的inetd服务后面是没有-s参数的当然也没有用inetd去启动某个文件而solaris系统中也仅仅是inetd –s同样没有用inetd去启动某个特定的文件如果你使用ps命令看到inetd启动了某个文件而你自己又没有用inetd启动这个文件那就说明已经有人***了你的系统并且以root权限起了一个简单的后门。 输入ps –aef 查看输出信息尤其注意有没有以./xxx开头的进程。一旦发现异样的进程经检查为***者留下的后门程序立即运行kill –9 pid 开杀死该进程然后再运行ps –aef查看该进程是否被杀死一旦此类进程出现杀死以后又重新启动的现象则证明系统被人放置了自动启动程序的脚本。这个时候要进行仔细查找find / -name 程序名 –print假设系统真的被***者放置了后门根据找到的程序所在的目录UNIX下隐藏进程有的时候通过替换ps文件来做检测这种方法涉及到检查文件完整性一会我们再讨论这种方法。接下来根据找到***者在服务器上的文件目录一步一步进行追踪。 3、检查系统守护进程 检查/etc/inetd.conf文件输入 　　cat /etc/inetd.conf | grep –v “^#” 输出的信息就是你这台机器所开启的远程服务。一般***者可以通过直接替换in.xxx程序来创建一个后门比如用/bin/sh 替换掉in.telnetd然后重新启动inetd服务那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。 4、检查网络连接和监听端口 输入netstat -an列出本机所有的连接和监听的端口查看有没有非法连接。 输入netstat –rn查看本机的路由、网关设置是否正确。 输入 ifconfig –a查看网卡设置。 5、检查系统日志 命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程这已经成为***者***的重要目标。***者通常会停止系统的syslog查看系统syslog进程的情况判断syslog上次启动的时间是否正常因为syslog是以root身份执行的如果发现syslog被非法动过那说明有重大的***事件。 　　在linux下输入ls –al /var/log　　在solaris下输入 ls –al /var/adm 检查wtmp utmp包括messgae等文件的完整性和修改时间是否正常这也是手工擦除***痕迹的一种方法。 6、检查系统中的core文件 通过发送畸形请求来***服务器的某一服务来***系统是一种常规的***方法典型的RPC***就是通过这种方式。这种方式有一定的成功率也就是说它并不能100%保证成功***系统而且通常会在服务器相应目录下产生core文件全局查找系统中的core文件输入find / -name core –exec ls –l {} \; 依据core所在的目录、查询core文件来判断是否有***行为。 7、检查系统文件完整性 检查文件的完整性有多种方法通常我们通过输入ls –l 文件名来查询和比较文件这种方法虽然简单但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm –V rpm –qf 文件名 来查询查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多这里不一一赘述可以man rpm来获得更多的格式。 UNIX系统中/bin/login是被***者经常替换作为后门的文件接下来谈一下login后门 UNIX里Login程序通常用来对telnet来的用户进行口令验证。***者获取login的源代码并修改使它在比较输入口令与存储口令时先检查后门口令。如果用户敲入后门口令它将忽视管理员设置的口令让你长驱直入这将允许***者进入任何账号甚至是root目录。由于后门口令是在用户真实登录并被日志记录到utmp和wtmP前产生的一个访问所以***者可以登录获取shell却不会暴露该账号。管理员注意到这种后门后使用”strings”命令搜索login程序以寻找文本信息。 许多情况下后门口令会原形毕露。***者又会开始加密或者更改隐藏口令使strings命令失效。所以许多管理员利用MD5校验和检测这种后门。UNIX系统中有md5sum命令输入md5sum 文件名检查该文件的md5签名。它的使用格式如下 md5sum –b 使用二进制方式阅读文件 md5sum –c 逆向检查MD5签名 md5sum –t 使用文本方式阅读文件。 在前面提到过守护进程对于守护进程配置文件inetd.conf中没有被注释掉的行要进行仔细比较举个简单的例子如果你开放了telnet服务守护进程配置文件中就会有一句 telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd 可以看到它所使用的文件是 /usr/sbin/in.telnetd检查该文件的完整性***者往往通过替换守护进程中允许的服务文件来为自己创建一个后门。 LINUX系统中的/etc/crontab也是经常被***者利用的一个文件检查该文件的完整性可以直接cat /etc/crontab仔细阅读该文件有没有被***者利用来做其他的事情。 不替换login等文件而直接使用进程来启动后门的方法有一个缺陷即系统一旦重新启动这个进程就被杀死了所以得让这个后门在系统启动的时候也启动起来。通常通过检查/etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序。说到这里另外提一下如果在某一目录下发现有属性为这样的文件-rwsr-xr-x 1 root root xxx .sh这个表明任何用户进来以后运行这个文件都可以获得一个rootshell这就是setuid文件。运行 find –perm 4000 –print对此类文件进行全局查找然后删除这样的文件。 8、检查内核级后门 如果你的系统被人安装了这种后门通常都是比较麻烦的首先检查系统加载的模块在LINUX系统下使用lsmod命令在solaris系统下使用modinfo命令来查看。这里需要说明的是一般默认安装的LINUX加载的模块都比较少通常就是网卡的驱动而solaris下就很多没别的办法只有一条一条地去分析。对内核进行加固后应禁止插入或删除模块从而保护系统的安全否则***者将有可能再次对系统调用进行替换。我们可以通过替换create_module()和delete_module()来达到上述目的。另外对这个内核进行加固模块时应尽早进行以防系统调用已经被***者替换。如果系统被加载了后门模块但是在模块列表/proc/module里又看不到它们。出现这种情况需要仔细查找/proc目录根据查找到的文件和经验来判断被隐藏和伪装的进程,当然目录也可能不是隐藏的。 手工的***检测行为对于系统安全来说只是治标而不治本多半还是依靠管理员的技巧和经验来增强系统的安全性没有也不可能形成真正的安全体系虽然好过没有可以检测和追踪到某些***行为但如果碰上同样精通系统的***者就很难抓住踪迹了。搭建真正的安全体系需要配合使用***检测系统一个优秀的***检测系统辅以系统管理员的技巧和经验可以形成真正的安全体系有效判断和切断***行为真正保护主机、资料。 转载于:https://blog.51cto.com/qingwang/260757