linux查看是否被入侵

一.檢查系統日誌

lastb命令檢查系統錯誤登錄日誌，統計IP重試次數

二.檢查系統用戶

一、cat /etc/passwd查看是否有異常的系統用戶

二、grep 「0」 /etc/passwd查看是否產生了新用戶，UID和GID爲0的用戶

三、ls -l /etc/passwd查看passwd的修改時間，判斷是否在不知的狀況下添加用戶

四、查看是否存在特權用戶awk -F: ‘$3= =0 {print $1}’ /etc/passwd五、查看是否存在空口令賬戶awk -F: ‘length($2)= =0 {print $1}’ /etc/shadow

三.檢查異常進程

一、注意UID爲0的進程使用ps -ef命令查看進程

二、察看該進程所打開的端口和文件lsof -p pid命令查看

三、檢查隱藏進程ps -ef | awk ‘{print }’ | sort -n | uniq >1ls /porc |sort -n|uniq >2diff 1 2

四.檢查異常系統文件

find / -uid 0 –perm -4000 –printfind / -size +10000k –printfind / -name 「…」 –printfind / -name 「.. 「–printfind / -name 「. 「 –printfind / -name 「 「 –print

五.檢查系統文件完整性

rpm –qf /bin/lsrpm -qf /bin/loginmd5sum –b 文件名md5sum –t 文件名

六.檢查rpm完整性

rpm -Va  #注意相關的/sbin,/bin,/usr/sbin,/usr/bin

七.檢查網絡

ip link | grep PROMISC（正常網卡不應在promisc模式，可能存在sniffer）lsof –inetstat –nap（察看不正常打開的TCP/UDP端口)arp –a

八.檢查系統計劃任務

crontab –u root –lcat /etc/crontabls /etc/cron.*

九.檢查系統後門

cat /etc/crontabls /var/spool/cron/cat /etc/rc.d/rc.localls /etc/rc.dls /etc/rc3.d

十.檢查系統服務

chkconfig —listrpcinfo -p（查看RPC服務）

十一.檢查rootkit

rkhunter -cchkrootkit -q