Linux-应急常用命令+技巧总结

type

status

date

slug

summary

常用命令

查看 History 详细

设置 history 显示时间和用户名, 更方便排查谁在什么时间执行了什么

查看文件改动

检查最近创建的 php、jsp 文件和上传目录例如要查找 24 小时内被修改的 JSP 文件：

find ./ -mtime 0 -name "*.php"

与测试环境目录做对比

diff -r {生产 dir} {测试 dir}

账号

域名 hosts

有一些挖矿程序会修改 /etc/hosts文件，请看一下其中内容是否被更改过

前两天在另外的项目组上发现的某个挖矿病毒就会修改 hosts 文件

这是从那台服务器上提取的一些恶意的配置内容

日志

secure 是应急中最常用的文件，主要记录系统存取数据的文件。日志默认存放位置：/var/log/，日志总是能发现一些蛛丝马迹。

<table width="660"><thead><tr><th xt-marked="ok">日志文件</th><th xt-marked="ok">说明</th></tr></thead><tbody><tr><td xt-marked="ok">/var/log/cron</td><td xt-marked="ok">记录了系统定时任务相关的日志</td></tr><tr><td xt-marked="ok">/var/log/cups</td><td xt-marked="ok">记录打印信息的日志</td></tr><tr><td xt-marked="ok">/var/log/dmesg</td><td xt-marked="ok">记录了系统在开机时内核自检的信息，也可以使用 dmesg 命令直接查看内核自检信息</td></tr><tr><td xt-marked="ok">/var/log/mailog</td><td xt-marked="ok">记录邮件信息</td></tr><tr><td xt-marked="ok">/var/log/message</td><td xt-marked="ok">记录系统重要信息的日志。这个日志文件中会记录 Linux 系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件</td></tr><tr><td xt-marked="ok">/var/log/btmp</td><td xt-marked="ok">记录错误登录日志，这个文件是二进制文件，不能直接 vi 查看，而要使用 lastb 命令查看</td></tr><tr><td xt-marked="ok">/var/log/lastlog</td><td xt-marked="ok">记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接 vi，而要使用 lastlog 命令查看</td></tr><tr><td xt-marked="ok">/var/log/wtmp</td><td xt-marked="ok">永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接 vi，而需要使用 last 命令来查看</td></tr><tr><td xt-marked="ok">/var/log/utmp</td><td xt-marked="ok">记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接 vi，而要使用 w,who,users 等命令来查询</td></tr><tr><td xt-marked="ok">/var/log/secure</td><td xt-marked="ok">记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如 SSH 登录，su 切换用户，sudo 授权，甚至添加用户和修改用户密码都会记录在这个日志文件中</td></tr></tbody></table>

注：secure 在一些较新的 linux 已经被rsyslog替换，下面命令中的/var/log/secure 可以尝试换成/var/log/auth.log

常用的 shell 命令

find、grep 、egrep、awk、sed

1、grep 显示前后几行信息:

2、grep 查找含有某字符串的所有文件

3、如何显示一个文件的某几行：

命令替换后门

黑客会替换替换 top、ps 等命令

检测

stat 命令查看文件状态并且使用 md5sum 命令查看文件 hash 并将其与正常文件 hash 进行比较。如果确定被替换，使用正常文件替代坏文件即可

工具

利用自动化检测程序 rookithunter 进行检测 rookithunter 可以自动化检查主机上可能存在的 rookit 木马文件，与被篡改的命令等，找到被篡改的命令后可以选择删除命令，然后重新安装命令。

webshell 查杀

使用 Webshell 查杀工具 Windows 下 D 盾等，Linux 下河马等

参考

https://bypass007.github.io/Emergency-Response-Notes/LogAnalysis/第2篇：Linux日志分析.html