Май 6th, 2015 
Evgeniy Kamenev
|
1 |
# last |
– просмотр списка пользователей, IP-адресов и времени входа в систему
|
1 |
# ls -lart / |
— отсортированный по времени список измененных/добавленных/удаленных папок и файлов в системе
|
1 |
# netstat –na |
– спсиок текущих сокетов, подключений
|
1 |
# ps –wauxef |
– просмотр запущенных процессов
|
1 |
# cat .bash_history |
– просмотр истории команд(как для root, та ки для всех пользов с корректной оболочкой в /etc/passwd)
|
1 |
# top |
– проверка процессов, потребляющих много процессорного времени
|
1 |
# strace -p №PID |
– проверка работы подозрительного процесса по его идентификатору
|
1 |
# rpm –Va |
– проверка целостности пакетов для Centos
|
1 |
# debsums -с |
– проверка целостности пакетов для Debian
|
1 |
# rpm –qa |
– список пакетов установленных в хронологическом порядке
|
1 |
# lsattr /{\/bin,\/sbin,\/usr\/bin,\/usr\/sbin}| less |
– просмотр установки immutable-флага
|
1 |
# find / -mtime -1 |
– поиск файлов измененных в течение последних суток
|
1 |
# ls -al {\/tmp,\/var\/tmp,\/dev\/shm} |
– просмотр директорий с повышенной опасностью
Если что-то полезное будет найдено, тогда нужно обратить внимание на время, когда был загружен malware и проверять лог-файлы сервера в это время.
1.Быстрая и «грязная» проверка, были ли установлены атрибут immutable на бинарные файлы
|
1 |
# lsattr /usr/sbin | less |
|
1 |
# lsattr /usr/bin | less |
|
1 |
# lsattr /bin | less |
|
1 |
# lsattr /sbin | less |
2.Проеврка истории команд для всех пользователей, которые имеют валидный shell в /etc/passwd
|
1 |
# cat /home/$user/.bash_history |
Для пользователя root
|
1 |
# cat /root/.bash_history |
3.Проверка наличия скрытых файлов и папок и файлов с правом выполнения
|
1 |
# ls -al /var/tmp | less |
|
1 |
# ls -al /tmp | less |
|
1 |
# ls -al /dev/shm/ | less |
4.Просмотр прослушивающих процессов,установленных соединений,запущенных процессов
Проверка процессов, слушающих входящие соединения
|
1 |
# netstat –napt |
Проверка запущенных процессов
|
1 |
# ps –wauxxef |
Проверка установленных ssh-соединений
|
1 |
# netstat -natp | grep sshd |awk '{print $4,$5,$6,$7}' |
5.Просмотр логов сервера на предемет brutoforce ssh попыток, логов Web-сервера(access-log)
|
1 |
# less /var/log/secure |
|
1 |
# less /var/log/messages |
|
1 |
# cd /var/log/httpd |
|
1 |
# for i in `ls * |grep access`; do echo $i && grep curl $i; done |
|
1 |
# for i in `ls * |grep access`; do echo $i && grep wget $i; done |
Источник:
http://www.stephenlang.net/2012/12/investigating-compromised-servers/
Опубликовано в рубрике 
Метки: