linux被植入木马排查思路

一、是否侵入检查

1）检查系统登录日志 last命令

2）检查系统用户

1、检查是否有异常用户 cat /etc/passwd

2、查看是否产生了新用户、uid和gid为0的用户 grep "0" /etc/passwd

3、查看passwd的修改时间，判断是否在不知情的情况下被添加用户 ls -l /etc/passwd

4、查看是否有特权用户 awk -F: '$3==0 {print $1}' /etc/passwd

3）检查异常进程

1、注意UID为0的进程

2、查看该进程打开的端口和文件 lsof -p pid

3、查看隐藏进程 ps -ef | awk '{print }' | sort -n | uniq >1

ls /porc |sort -n|uniq >2

diff 1 2

4、查看连接 netstat -a

4）检查异常文件

1、查看一定时间内文件的情况 find / -name "*" -type f -newermt '2022-08-25 00:00:00' ! -newermt '2022-08-25 23:59:59'

2、查看tomcat、nginx的比较大的.jsp .htm文件 find /目录 -name .jsp -o -size +10000k

3、查看tmp文件夹下有没有异常文件扫描记录

5）检查系统文件完整性

1、rpm --qf /bin/ls

2、rpm -qf /bin/login

3、d5sum --b 文件名

4、md5sum --t 文件名

6）检查网络

1、ip link | grep PROMISC（正常网卡不该在promisc模式，可能存在sniffer）

2、netstat --nap（察看不正常打开的TCP/UDP端口)

7）检查系统定时任务 crontab -l

8）检查系统启动命令 cat /etc/rc.d/rc.local

9）检查系统服务 chkconfig -list

10） upload 文件

11）*.ico 文件内存码

12）登陆权限公钥查看 rsa

13）横向扫描命令记录 fscan

二、本次异常的解决思路

先检查是否有异常用户发现有一个uid和gid都为0的用户，这是有了root的权限，是不正常的

然后我们就查看用户登录的日志

在相应的文件里把tomcat2用户添加的内容删除 /etc/shadow /etc/group ，异常用户直接锁定

usermod -L

查看该用户的操

查看python进程

发现都是异常用户做的，可以直接kill掉异常的进程也直接kill掉

查看了/tmp 下发现有异常的文件 mysqld 直接删除扫描tomcat出来的异常的jsp js文件在备份后直接删除

异常的压缩包也可以删除

最后修改root密码为复杂密码

还可以安装杀毒软件去进行扫描

rpm安装 clamav

https://www.clamav.net/download.html 去官网下载rpm包

groupadd clamav useradd -g clamav clamav 先添加组成员

rpm -ivh clamav-0.105.rpm 二进制安装

安装成功的标志是 clamscan --version

目前还不可以正常使用需要安装病毒库

1、cd /usr/local/etc

2、freshclam.conf.sample freshclam.conf

3、vim freshclam.conf 将Example注释

4、chmod 777 /usr/local/share/clamav 授予权限

5、输入freshclam 安装病毒库

使用：

clamscan -r -i /etc --max-dir-recursion=4 > /var/log/clamav-etc-20220815.log

扫描出的木马