如何理解Linux查找后門思路和shell腳本

本篇內(nèi)容介紹了“如何理解Linux查找后門思路和shell腳本”的有關(guān)知識，在實際案例的操作過程中，不少人都會遇到這樣的困境，接下來就讓小編帶領(lǐng)大家學(xué)習(xí)一下如何處理這些情況吧！希望大家仔細(xì)閱讀，能夠?qū)W有所成！

每個進(jìn)程都會有一個PID，而每一個PID都會在/proc目錄下有一個相應(yīng)的目錄，這是linux（當(dāng)前內(nèi)核2.6）系統(tǒng)的實現(xiàn)。
一般后門程序，在ps等進(jìn)程查看工具里找不到，因為這些常用工具甚至系統(tǒng)庫在系統(tǒng)被入侵之后基本上已經(jīng)被動過手腳（網(wǎng)上流傳著大量的rootkit。假如是內(nèi)核級的木馬，那么該方法就無效了）。
因為修改系統(tǒng)內(nèi)核相對復(fù)雜（假如內(nèi)核被修改過，或者是內(nèi)核級的木馬，就更難發(fā)現(xiàn)了），所以在/proc下，基本上還都可以找到木馬的痕跡。

思路：

在/proc中存在的進(jìn)程ID，在 ps 中查看不到（被隱藏），必有問題。

代碼如下:

#!/bin/bash

str_pids="`ps -A | awk '{print $1}'`";
for i in /proc/[[:digit:]]*;
do
 if echo "$str_pids" | grep -qs `basename "$i"`;
 then
  :
 else
  echo "Rootkit's PID: $(basename "$i")";
 fi
done

討論：

檢查系統(tǒng)(Linux)是不是被黑，其復(fù)雜程度主要取決于入侵者“掃尾工作”是否做得充足。對于一次做足功課的入侵來說，要想剔除干凈，將是一件分精密、痛苦的事情，通常這種情況，需要用專業(yè)的第三方的工具（有開源的，比如tripwire，比如aide）來做這件事情。
而專業(yè)的工具，部署、使用相對比較麻煩，也并非所有的管理員都能熟練使用。

實際上Linux系統(tǒng)本身已經(jīng)提供了一套“校驗”機制，在檢查系統(tǒng)上的程序沒有被修改。比如rpm包管理系統(tǒng)提供的 -V 功能：

代碼如下:

rpm -Va

即可校驗系統(tǒng)上所有的包，輸出與安裝時被修改過的文件及相關(guān)信息。但是rpm系統(tǒng)也可能被破壞了，比如被修改過。

“如何理解Linux查找后門思路和shell腳本”的內(nèi)容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關(guān)的知識可以關(guān)注億速云網(wǎng)站，小編將為大家輸出更多高質(zhì)量的實用文章！