安全是?IT?行業(yè)一個老生常談的話題了，從之前的“棱鏡門”事件中折射出了很多安全問題，處理好信息安全問題已變得刻不容緩。不掉坑，不背鍋!史上最全的服務器安全管理規(guī)范開源了。

因此做為程序員，就必須了解一些安全準則，同時，要保護自己所負責的業(yè)務，首先要站在攻擊者的角度思考問題，修補任何潛在的威脅和漏洞。這是一篇長文，建議大家細細品讀一下，必定有不少收獲，學習時需要靜心，放下心里的浮躁。

本文主要分為如下五部分展開：

賬戶和登錄安全

遠程訪問和認證安全

文件系統(tǒng)安全

Linux?后門入侵檢測工具

服務器遭受攻擊后的處理過程

賬戶和登錄安全

賬戶安全是系統(tǒng)安全的第一道屏障，也是系統(tǒng)安全的核心，保障登錄賬戶的安全，在一定程度上可以提高服務器的安全級別，下面重點介紹下?Linux?系統(tǒng)登錄賬戶的安全設置方法。

①刪除特殊的賬戶和賬戶組

Linux?提供了各種不同角色的系統(tǒng)賬號，在系統(tǒng)安裝完成后，默認會安裝很多不必要的用戶和用戶組。

如果不需要某些用戶或者組，就要立即刪除它，因為賬戶越多，系統(tǒng)就越不安全，很可能被黑客利用，進而威脅到服務器的安全。

Linux系統(tǒng)中可以刪除的默認用戶和組大致有如下這些：

可刪除的用戶，如?adm，lp，sync，shutdown，halt，news，uucp，operator，games，gopher?等。

可刪除的組，如?adm，lp，news，uucp，games，dip，pppusers，popusers，slipusers?等。

②關閉系統(tǒng)不需要的服務

Linux?在安裝完成后，綁定了很多沒用的服務，這些服務默認都是自動啟動的。

對于服務器來說，運行的服務越多，系統(tǒng)就越不安全，越少服務在運行，安全性就越好，因此關閉一些不需要的服務，對系統(tǒng)安全有很大的幫助。

具體哪些服務可以關閉，要根據(jù)服務器的用途而定，一般情況下，只要系統(tǒng)本身用不到的服務都認為是不必要的服務。

例如：某臺?Linux?服務器用于?www?應用，那么除了?httpd?服務和系統(tǒng)運行是必須的服務外，其他服務都可以關閉。

下面這些服務一般情況下是不需要的，可以選擇關閉：

anacron、auditd、autofs、avahi-daemon、avahi-dnsconfd、bluetooth、cpuspeed、firstboot、gpm、haldaemon、hidd、ip6tables、ipsec、isdn、lpd、mcstrans、messagebus、netfs、nfs、nfslock、nscd、pcscd?portmap、readahead_early、restorecond、rpcgssd、rpcidmapd、rstatd、sendmail、setroubleshoot、yppasswdd?ypserv

③密碼安全策略

在?Linux?下，遠程登錄系統(tǒng)有兩種認證方式：

密碼認證

密鑰認證

密碼認證方式是傳統(tǒng)的安全策略，對于密碼的設置，比較普遍的說法是：至少?6?個字符以上，密碼要包含數(shù)字、字母、下劃線、特殊符號等。

設置一個相對復雜的密碼，對系統(tǒng)安全能起到一定的防護作用，但是也面臨一些其他問題，例如密碼暴力破解、密碼泄露、密碼丟失等，同時過于復雜的密碼對運維工作也會造成一定的負擔。

密鑰認證是一種新型的認證方式，公用密鑰存儲在遠程服務器上，專用密鑰保存在本地，當需要登錄系統(tǒng)時，通過本地專用密鑰和遠程服務器的公用密鑰進行配對認證，如果認證成功，就成功登錄系統(tǒng)。

這種認證方式避免了被暴力破解的危險，同時只要保存在本地的專用密鑰不被黑客盜用，攻擊者一般無法通過密鑰認證的方式進入系統(tǒng)。

因此，在?Linux?下推薦用密鑰認證方式登錄系統(tǒng)，這樣就可以拋棄密碼認證登錄系統(tǒng)的弊端。

Linux?服務器一般通過?SecureCRT、Putty、Xshell?之類的工具進行遠程維護和管理，密鑰認證方式的實現(xiàn)就是借助于?SecureCRT?軟件和?Linux?系統(tǒng)中的?SSH?服務實現(xiàn)的。

④合理使用?su、sudo?命令

su?命令：是一個切換用戶的工具，經(jīng)常用于將普通用戶切換到超級用戶下，當然也可以從超級用戶切換到普通用戶。

為了保證服務器的安全，幾乎所有服務器都禁止了超級用戶直接登錄系統(tǒng)，而是通過普通用戶登錄系統(tǒng)，然后再通過?su?命令切換到超級用戶下，執(zhí)行一些需要超級權限的工作。

通過?su?命令能夠給系統(tǒng)管理帶來一定的方便，但是也存在不安全的因素，例如：系統(tǒng)有?10?個普通用戶，每個用戶都需要執(zhí)行一些有超級權限的操作，就必須把超級用戶的密碼交給這?10?個普通用戶。

如果這?10?個用戶都有超級權限，通過超級權限可以做任何事，那么會在一定程度上對系統(tǒng)的安全造成了威協(xié)。

因此?su?命令在很多人都需要參與的系統(tǒng)管理中，并不是最好的選擇，超級用戶密碼應該掌握在少數(shù)人手中，此時?sudo?命令就派上用場了。

sudo?命令：允許系統(tǒng)管理員分配給普通用戶一些合理的“權利”，并且不需要普通用戶知道超級用戶密碼，就能讓他們執(zhí)行一些只有超級用戶或其他特許用戶才能完成的任務。

比如：系統(tǒng)服務重啟、編輯系統(tǒng)配置文件等，通過這種方式不但能減少超級用戶登錄次數(shù)和管理時間，也提高了系統(tǒng)安全性。

因此，sudo?命令相對于權限無限制性的?su?來說，還是比較安全的，所以?sudo?也被稱為受限制的?su，另外?sudo?也是需要事先進行授權認證的，所以也被稱為授權認證的?su。

sudo?執(zhí)行命令的流程是：將當前用戶切換到超級用戶下，或切換到指定的用戶下，然后以超級用戶或其指定切換到的用戶身份執(zhí)行命令。

執(zhí)行完成后，直接退回到當前用戶，而這一切的完成要通過?sudo?的配置文件?/etc/sudoers?來進行授權。

sudo?設計的宗旨是：賦予用戶盡可能少的權限但仍允許它們完成自己的工作，這種設計兼顧了安全性和易用性。

因此，強烈推薦通過?sudo?來管理系統(tǒng)賬號的安全，只允許普通用戶登錄系統(tǒng)，如果這些用戶需要特殊的權限，就通過配置?/etc/sudoers?來完成，這也是多用戶系統(tǒng)下賬號安全管理的基本方式。

⑤刪減系統(tǒng)登錄歡迎信息

系統(tǒng)的一些歡迎信息或版本信息，雖然能給系統(tǒng)管理者帶來一定的方便，但是這些信息有時候可能被黑客利用，成為攻擊服務器的幫兇。

為了保證系統(tǒng)的安全，可以修改或刪除某些系統(tǒng)文件，需要修改或刪除的文件有四個，分別是：

/etc/issue

/etc/issue.net

/etc/redhat-release

/etc/motd

/etc/issue?和?/etc/issue.net?文件都記錄了操作系統(tǒng)的名稱和版本號，當用戶通過本地終端或本地虛擬控制臺等登錄系統(tǒng)時，/etc/issue?的文件內(nèi)容就會顯示。

當用戶通過?ssh?或?telnet?等遠程登錄系統(tǒng)時，/etc/issue.net?文件內(nèi)容就會在登錄后顯示。

在默認情況下?/etc/issue.net?文件的內(nèi)容是不會在?ssh?登錄后顯示的，要顯示這個信息可以修改?/etc/ssh/sshd_config?文件，在此文件中添加如下內(nèi)容即可：Banner?/etc/issue.net。

其實這些登錄提示很明顯泄漏了系統(tǒng)信息，為了安全起見，建議將此文件中的內(nèi)容刪除或修改。

/etc/redhat-release?文件也記錄了操作系統(tǒng)的名稱和版本號，為了安全起見，可以將此文件中的內(nèi)容刪除。

/etc/motd?文件是系統(tǒng)的公告信息。每次用戶登錄后，/etc/motd?文件的內(nèi)容就會顯示在用戶的終端。

通過這個文件系統(tǒng)，管理員可以發(fā)布一些軟件或硬件的升級、系統(tǒng)維護等通告信息，但是此文件的最大作用就是可以發(fā)布一些警告信息，當黑客登錄系統(tǒng)后，會發(fā)現(xiàn)這些警告信息，進而產(chǎn)生一些震懾作用。

看過國外的一個報道，黑客入侵了一個服務器，而這個服務器卻給出了歡迎登錄的信息，因此法院不做任何裁決。

遠程訪問和認證安全

①遠程登錄取消?telnet?而采用?SSH?方式

telnet?是一種古老的遠程登錄認證服務，它在網(wǎng)絡上用明文傳送口令和數(shù)據(jù)，因此別有用心的人就會非常容易截獲這些口令和數(shù)據(jù)。

而且，telnet?服務程序的安全驗證方式也極其脆弱，攻擊者可以輕松將虛假信息傳送給服務器。

現(xiàn)在遠程登錄基本拋棄了?telnet?這種方式，而取而代之的是通過?SSH?服務遠程登錄服務器。

②合理使用?Shell?歷史命令記錄功能

在?Linux?下可通過?history?命令查看用戶所有的歷史操作記錄，同時?shell?命令操作記錄默認保存在用戶目錄下的?.bash_history?文件中。

通過這個文件可以查詢?shell?命令的執(zhí)行歷史，有助于運維人員進行系統(tǒng)審計和問題排查。

同時，在服務器遭受黑客攻擊后，也可以通過這個命令或文件查詢黑客登錄服務器所執(zhí)行的歷史命令操作。

但是有時候黑客在入侵服務器后為了毀滅痕跡，可能會刪除?.bash_history?文件，這就需要合理的保護或備份?.bash_history?文件。

③啟用?Tcp_Wrappers?防火墻

Tcp_Wrappers?是一個用來分析?TCP/IP?封包的軟件，類似的?IP?封包軟件還有?iptables。

Linux?默認都安裝了?Tcp_Wrappers。作為一個安全的系統(tǒng)，Linux?本身有兩層安全防火墻，通過?IP?過濾機制的?iptables?實現(xiàn)第一層防護。

iptables?防火墻通過直觀地監(jiān)視系統(tǒng)的運行狀況，阻擋網(wǎng)絡中的一些惡意攻擊，保護整個系統(tǒng)正常運行，免遭攻擊和破壞。

如果通過了第一層防護，那么下一層防護就是?Tcp_Wrappers?了。通過?Tcp_Wrappers?可以實現(xiàn)對系統(tǒng)中提供的某些服務的開放與關閉、允許和禁止，從而更有效地保證系統(tǒng)安全運行。

文件系統(tǒng)安全

①鎖定系統(tǒng)重要文件

系統(tǒng)運維人員有時候可能會遇到通過?Root?用戶都不能修改或者刪除某個文件的情況，產(chǎn)生這種情況的大部分原因可能是這個文件被鎖定了。

在?Linux?下鎖定文件的命令是?Chattr，通過這個命令可以修改?ext2、ext3、ext4?文件系統(tǒng)下文件屬性，但是這個命令必須有超級用戶?Root?來執(zhí)行。和這個命令對應的命令是?lsattr，這個命令用來查詢文件屬性。

對重要的文件進行加鎖，雖然能夠提高服務器的安全性，但是也會帶來一些不便。

例如：在軟件的安裝、升級時可能需要去掉有關目錄和文件的?immutable?屬性和?append-only?屬性，同時，對日志文件設置了?append-only?屬性，可能會使日志輪換(logrotate)無法進行。

因此，在使用?Chattr?命令前，需要結合服務器的應用環(huán)境來權衡是否需要設置?immutable?屬性和?append-only?屬性。

另外，雖然通過?Chattr?命令修改文件屬性能夠提高文件系統(tǒng)的安全性，但是它并不適合所有的目錄。Chattr?命令不能保護?/、/dev、/tmp、/var?等目錄。

根目錄不能有不可修改屬性，因為如果根目錄具有不可修改屬性，那么系統(tǒng)根本無法工作：

/dev?在啟動時，syslog?需要刪除并重新建立?/dev/log?套接字設備，如果設置了不可修改屬性，那么可能出問題。

/tmp?目錄會有很多應用程序和系統(tǒng)程序需要在這個目錄下建立臨時文件，也不能設置不可修改屬性。

/var?是系統(tǒng)和程序的日志目錄，如果設置為不可修改屬性，那么系統(tǒng)寫日志將無法進行，所以也不能通過?Chattr?命令保護。

②文件權限檢查和修改

不正確的權限設置直接威脅著系統(tǒng)的安全，因此運維人員應該能及時發(fā)現(xiàn)這些不正確的權限設置，并立刻修正，防患于未然。下面列舉幾種查找系統(tǒng)不安全權限的方法。

查找系統(tǒng)中任何用戶都有寫權限的文件或目錄：

查找文件：find?/?-?type?f?-perm?-2?-o?-perm?-20?|xargs?ls?-al

查找目錄：find?/?-?type?d?-perm?-2?-o?-perm?-20?|xargs?ls?–ld

查找系統(tǒng)中所有含“s”位的程序：

find?/?-?typef?-perm?-4000-o?-perm?-2000-?print|?xargs?ls?–al

含有“s”位權限的程序對系統(tǒng)安全威脅很大，通過查找系統(tǒng)中所有具有“s”位權限的程序，可以把某些不必要的“s”位程序去掉，這樣可以防止用戶濫用權限或提升權限的可能性。

檢查系統(tǒng)中所有?suid?及?sgid?文件：

find?/?-user?root?-perm?-2000?-?print?-exec?md5sum?{}?;

find?/?-user?root?-perm?-4000?-?print?-exec?md5sum?{}?;

將檢查的結果保存到文件中，可在以后的系統(tǒng)檢查中作為參考。

檢查系統(tǒng)中沒有屬主的文件：

find?/?-nouser?-o?–nogroup

沒有屬主的孤兒文件比較危險，往往成為黑客利用的工具，因此找到這些文件后，要么刪除掉，要么修改文件的屬主，使其處于安全狀態(tài)。

③/tmp、/var/tmp、/dev/shm?安全設定

在?Linux?系統(tǒng)中，主要有兩個目錄或分區(qū)用來存放臨時文件，分別是?/tmp?和?/var/tmp。

存儲臨時文件的目錄或分區(qū)有個共同點就是所有用戶可讀寫、可執(zhí)行，這就為系統(tǒng)留下了安全隱患。

攻擊者可以將病毒或者木馬腳本放到臨時文件的目錄下進行信息收集或偽裝，嚴重影響服務器的安全。

此時，如果修改臨時目錄的讀寫執(zhí)行權限，還有可能影響系統(tǒng)上應用程序的正常運行，因此，如果要兼顧兩者，就需要對這兩個目錄或分區(qū)進行特殊的設置。

/dev/shm?是?Linux?下的一個共享內(nèi)存設備，在?Linux?啟動的時候系統(tǒng)默認會加載?/dev/shm，被加載的?/dev/shm?使用的是?tmpfs?文件系統(tǒng)，而?tmpfs?是一個內(nèi)存文件系統(tǒng)，存儲到?tmpfs?文件系統(tǒng)的數(shù)據(jù)會完全駐留在?RAM?中。

這樣通過?/dev/shm?就可以直接操控系統(tǒng)內(nèi)存，這將非常危險，因此如何保證?/dev/shm?安全也至關重要。

對于?/tmp?的安全設置，需要看?/tmp?是一個獨立磁盤分區(qū)，還是一個根分區(qū)下的文件夾。

如果?/tmp?是一個獨立的磁盤分區(qū)，那么設置非常簡單，修改?/etc/fstab?文件中?/tmp?分區(qū)對應的掛載屬性，加上?nosuid、noexec、nodev?三個選項即可。

修改后的?/tmp?分區(qū)掛載屬性類似如下：

LABEL=/tmp?/tmp?ext3?rw,nosuid,noexec,nodev?00

其中，nosuid、noexec、nodev?選項，表示不允許任何?suid?程序，并且在這個分區(qū)不能執(zhí)行任何腳本等程序，并且不存在設備文件。

在掛載屬性設置完成后，重新掛載?/tmp?分區(qū)，保證設置生效。

對于?/var/tmp，如果是獨立分區(qū)，安裝?/tmp?的設置方法是修改?/etc/fstab?文件即可。

如果是?/var?分區(qū)下的一個目錄，那么可以將?/var/tmp?目錄下所有數(shù)據(jù)移動到?/tmp?分區(qū)下，然后在?/var?下做一個指向?/tmp?的軟連接即可。

也就是執(zhí)行如下操作：

[root@server?~]#?mv?/?var?/tmp?/*?/tmp

[root@server?~]#?ln?-s?/tmp?/var/tmp

如果?/tmp?是根目錄下的一個目錄，那么設置稍微復雜，可以通過創(chuàng)建一個?loopback?文件系統(tǒng)來利用?Linux?內(nèi)核的?loopback?特性將文件系統(tǒng)掛載到?/tmp?下，然后在掛載時指定限制加載選項即可。

一個簡單的操作示例如下：

[root@server?~]#?dd?if?=/dev/zero?of=/dev/tmpfs?bs=?1?M?count=?10000

[root@server?~]#?mke2fs?-j?/dev/tmpfs

[root@server?~]#?cp?-av?/tmp?/tmp.old

[root@server?~]#?mount?-o?loop,noexec,nosuid,rw?/dev/tmpfs?/tmp

[root@server?~]#?chmod?1777?/tmp

[root@server?~]#?mv?-f?/tmp.old?/*?/tmp/

[root@server?~]#?rm?-rf?/tmp.old

最后，編輯?/etc/fstab，添加如下內(nèi)容，以便系統(tǒng)在啟動時自動加載?loopback?文件系統(tǒng)：

/dev/tmpfs?/tmp?ext3?loop,nosuid,noexec,rw?00

Linux?后門入侵檢測工具

Rootkit?是?Linux?平臺下最常見的一種木馬后門工具，它主要通過替換系統(tǒng)文件來達到入侵和和隱蔽的目的，這種木馬比普通木馬后門更加危險和隱蔽，普通的檢測工具和檢查手段很難發(fā)現(xiàn)這種木馬。

Rootkit?攻擊能力極強，對系統(tǒng)的危害很大，它通過一套工具來建立后門和隱藏行跡，從而讓攻擊者保住權限，以使它在任何時候都可以使用?Root?權限登錄到系統(tǒng)。

Rootkit?主要有兩種類型：文件級別和內(nèi)核級別，下面分別進行簡單介紹。

文件級別的?Rootkit?一般是通過程序漏洞或者系統(tǒng)漏洞進入系統(tǒng)后，通過修改系統(tǒng)的重要文件來達到隱藏自己的目的。

在系統(tǒng)遭受?Rootkit?攻擊后，合法的文件被木馬程序替代，變成了外殼程序，而其內(nèi)部是隱藏著的后門程序。

通常容易被?Rootkit?替換的系統(tǒng)程序有?login、ls、ps、ifconfig、du、find、netstat?等，其中?login?程序是最經(jīng)常被替換的。

因為當訪問?Linux?時，無論是通過本地登錄還是遠程登錄，/bin/login?程序都會運行，系統(tǒng)將通過?/bin/login?來收集并核對用戶的賬號和密碼。

而?Rootkit?就是利用這個程序的特點，使用一個帶有根權限后門密碼的?/bin/login?來替換系統(tǒng)的?/bin/login，這樣攻擊者通過輸入設定好的密碼就能輕松進入系統(tǒng)。

此時，即使系統(tǒng)管理員修改?Root?密碼或者清除?Root?密碼，攻擊者還是一樣能通過?Root?用戶登錄系統(tǒng)。

攻擊者通常在進入?Linux?系統(tǒng)后，會進行一系列的攻擊動作，最常見的是安裝嗅探器收集本機或者網(wǎng)絡中其他服務器的重要數(shù)據(jù)。

在默認情況下，Linux?中也有一些系統(tǒng)文件會監(jiān)控這些工具動作，例如?ifconfig?命令。

所以，攻擊者為了避免被發(fā)現(xiàn)，會想方設法替換其他系統(tǒng)文件，常見的就是?ls、ps、ifconfig、du、find、netstat?等。

如果這些文件都被替換，那么在系統(tǒng)層面就很難發(fā)現(xiàn)?Rootkit?已經(jīng)在系統(tǒng)中運行了。

這就是文件級別的?Rootkit，對系統(tǒng)維護很大，目前最有效的防御方法是定期對系統(tǒng)重要文件的完整性進行檢查。

如果發(fā)現(xiàn)文件被修改或者被替換，那么很可能系統(tǒng)已經(jīng)遭受了?Rootkit?入侵。

檢查文件完整性的工具很多，常見的有?Tripwire、?aide?等，可以通過這些工具定期檢查文件系統(tǒng)的完整性，以檢測系統(tǒng)是否被?Rootkit?入侵。

內(nèi)核級?Rootkit?是比文件級?Rootkit?更高級的一種入侵方式，它可以使攻擊者獲得對系統(tǒng)底層的完全控制權。

此時攻擊者可以修改系統(tǒng)內(nèi)核，進而截獲運行程序向內(nèi)核提交的命令，并將其重定向到入侵者所選擇的程序并運行此程序。

也就是說，當用戶要運行程序?A?時，被入侵者修改過的內(nèi)核會假裝執(zhí)行?A?程序，而實際上卻執(zhí)行了程序?B。

內(nèi)核級?Rootkit?主要依附在內(nèi)核上，它并不對系統(tǒng)文件做任何修改，因此一般的檢測工具很難檢測到它的存在，這樣一旦系統(tǒng)內(nèi)核被植入?Rootkit，攻擊者就可以對系統(tǒng)為所欲為而不被發(fā)現(xiàn)。

目前對于內(nèi)核級的?Rootkit?還沒有很好的防御工具，因此，做好系統(tǒng)安全防范就非常重要，將系統(tǒng)維持在最小權限內(nèi)工作，只要攻擊者不能獲取?Root?權限，就無法在內(nèi)核中植入?Rootkit。

①Rootkit?后門檢測工具?Chkrootkit

Chkrootkit?是一個?Linux?系統(tǒng)下查找并檢測?Rootkit?后門的工具，它的官方地址：

http:?//www.chkrootkit.org/

Chkrootkit?沒有包含在官方的?CentOS?源中，因此要采取手動編譯的方法來安裝，不過這種安裝方法也更加安全。

Chkrootkit?的使用比較簡單，直接執(zhí)行?Chkrootkit?命令即可自動開始檢測系統(tǒng)。

下面是某個系統(tǒng)的檢測結果：

[root@server?chkrootkit]#?/usr/local/chkrootkit/chkrootkit

Checking?`ifconfig'...?INFECTED

Checking?`?ls?'...?INFECTED

Checking?`login'?...?INFECTED

Checking?`netstat'...?INFECTED

Checking?`?ps?'...?INFECTED

Checking?`top'?...?INFECTED

Checking?`sshd'...?not?infected

Checking?`?syslogd?'...?not?tested

從輸出可以看出，此系統(tǒng)的?ifconfig、ls、login、netstat、ps?和?top?命令已經(jīng)被感染。

針對被感染?Rootkit?的系統(tǒng)，最安全而有效的方法就是備份數(shù)據(jù)重新安裝系統(tǒng)。

Chkrootkit?在檢查?Rootkit?的過程中使用了部分系統(tǒng)命令，因此，如果服務器被黑客入侵，那么依賴的系統(tǒng)命令可能也已經(jīng)被入侵者替換，此時?Chkrootkit?的檢測結果將變得完全不可信。

為了避免?Chkrootkit?的這個問題，可以在服務器對外開放前，事先將?Chkrootkit?使用的系統(tǒng)命令進行備份，在需要的時候使用備份的原始系統(tǒng)命令讓?Chkrootkit?對?Rootkit?進行檢測。

②Rootkit?后門檢測工具?RKHunter

RKHunter?是一款專業(yè)的檢測系統(tǒng)是否感染?Rootkit?的工具，它通過執(zhí)行一系列的腳本來確認服務器是否已經(jīng)感染?Rootkit。

在官方的資料中，RKHunter?可以做的事情有：

MD5校驗測試，檢測文件是否有改動，比較系統(tǒng)命令的md5，從而判斷

系統(tǒng)命令是否被篡改

檢測rootkit使用的二進制和系統(tǒng)工具文件

檢測特洛伊木馬程序的特征碼

檢測常用程序的文件屬性是否異常

檢測系統(tǒng)相關的測試

檢測隱藏文件

檢測可疑的核心模塊LKM

檢測系統(tǒng)已啟動的監(jiān)聽端口

在?Linux?終端使用?RKHunter?來檢測，最大的好處在于每項的檢測結果都有不同的顏色顯示，如果是綠色的表示沒有問題，如果是紅色的，那就要引起關注了。

另外，在執(zhí)行檢測的過程中，在每個部分檢測完成后，需要以?Enter?鍵來繼續(xù)。

如果要讓程序自動運行，可以執(zhí)行如下命令：

[root@server?~]#?/usr/local/bin/rkhunter?--check?--skip-keypress

同時，如果想讓檢測程序每天定時運行，那么可以在?/etc/crontab?中加入如下內(nèi)容：

3009*?*?*?root?/usr/local/bin/rkhunter?--check?--cronjob

這樣，RKHunter?檢測程序就會在每天的?9:30?分運行一次。

服務器遭受攻擊后的處理過程

安全總是相對的，再安全的服務器也有可能遭受到攻擊。

作為一個安全運維人員，要把握的原則是：盡量做好系統(tǒng)安全防護，修復所有已知的危險行為，同時，在系統(tǒng)遭受攻擊后能夠迅速有效地處理攻擊行為，最大限度地降低攻擊對系統(tǒng)產(chǎn)生的影響。

①處理服務器遭受攻擊的一般思路

系統(tǒng)遭受攻擊并不可怕，可怕的是面對攻擊束手無策，下面就詳細介紹下在服務器遭受攻擊后的一般處理思路。

切斷網(wǎng)絡：所有的攻擊都來自于網(wǎng)絡，因此，在得知系統(tǒng)正遭受黑客的攻擊后，首先要做的就是斷開服務器的網(wǎng)絡連接，這樣除了能切斷攻擊源之外，也能保護服務器所在網(wǎng)絡的其他主機。

查找攻擊源：可以通過分析系統(tǒng)日志或登錄日志文件，查看可疑信息，同時也要查看系統(tǒng)都打開了哪些端口，運行哪些進程，并通過這些進程分析哪些是可疑的程序。

這個過程要根據(jù)經(jīng)驗和綜合判斷能力進行追查和分析。下面會詳細介紹這個過程的處理思路。

分析入侵原因和途徑：既然系統(tǒng)遭到入侵，那么原因是多方面的，可能是系統(tǒng)漏洞，也可能是程序漏洞。

一定要查清楚是哪個原因導致的，并且還要查清楚遭到攻擊的途徑，找到攻擊源，因為只有知道了遭受攻擊的原因和途徑，才能刪除攻擊源同時進行漏洞的修復。

備份用戶數(shù)據(jù)：在服務器遭受攻擊后，需要立刻備份服務器上的用戶數(shù)據(jù)，同時也要查看這些數(shù)據(jù)中是否隱藏著攻擊源。

如果攻擊源在用戶數(shù)據(jù)中，一定要徹底刪除，然后將用戶數(shù)據(jù)備份到一個安全的地方。

重新安裝系統(tǒng)：永遠不要認為自己能徹底清除攻擊源，因為沒有人能比黑客更了解攻擊程序。

在服務器遭到攻擊后，最安全也最簡單的方法就是重新安裝系統(tǒng)，因為大部分攻擊程序都會依附在系統(tǒng)文件或者內(nèi)核中，所以重新安裝系統(tǒng)才能徹底清除攻擊源。

修復程序或系統(tǒng)漏洞：在發(fā)現(xiàn)系統(tǒng)漏洞或者應用程序漏洞后，首先要做的就是修復系統(tǒng)漏洞或者更改程序?Bug，因為只有將程序的漏洞修復完畢才能正式在服務器上運行。

恢復數(shù)據(jù)和連接網(wǎng)絡：將備份的數(shù)據(jù)重新復制到新安裝的服務器上，然后開啟服務，最后將服務器開啟網(wǎng)絡連接，對外提供服務。

②檢查并鎖定可疑用戶

當發(fā)現(xiàn)服務器遭受攻擊后，首先要切斷網(wǎng)絡連接，但是在有些情況下，比如無法馬上切斷網(wǎng)絡連接時，就必須登錄系統(tǒng)查看是否有可疑用戶。

如果有可疑用戶登錄了系統(tǒng)，那么需要馬上將這個用戶鎖定，然后中斷此用戶的遠程連接。

③查看系統(tǒng)日志

查看系統(tǒng)日志是查找攻擊源最好的方法，可查的系統(tǒng)日志有?/var/log/messages、/var/log/secure?等。

這兩個日志文件可以記錄軟件的運行狀態(tài)以及遠程用戶的登錄狀態(tài)，還可以查看每個用戶目錄下的?.bash_history?文件。

特別是?/root?目錄下的?.bash_history?文件，這個文件中記錄著用戶執(zhí)行的所有歷史命令。

④檢查并關閉系統(tǒng)可疑進程

檢查可疑進程的命令很多，例如?ps、top?等，但是有時候只知道進程的名稱無法得知路徑，此時可以通過如下命令查看。

首先通過?pidof?命令可以查找正在運行的進程?PID，例如要查找?sshd?進程的?PID。

執(zhí)行如下命令：

[root@server?~]#?pidof?sshd

13276?12942?4284

然后進入內(nèi)存目錄，查看對應?PID?目錄下?exe?文件的信息：

[root@server?~]#?ls?-al?/proc/?13276?/exe

lrwxrwxrwx?1?root?root?0?Oct?4?22?:?09?/proc/?13276?/exe?->?/usr/sbin/sshd

這樣就找到了進程對應的完整執(zhí)行路徑。如果還要查看文件的句柄，可以查看如下目錄：

[root@server?~]#?ls?-al?/proc/?13276/fd

通過這種方式基本可以找到任何進程的完整執(zhí)行信息。

⑤檢查文件系統(tǒng)的完好性

檢查文件屬性是否發(fā)生變化是驗證文件系統(tǒng)完好性最簡單、最直接的方法，例如可以檢查被入侵服務器上?/bin/ls?文件的大小是否與正常系統(tǒng)上此文件的大小相同，以驗證文件是否被替換，但是這種方法比較低級。

此時可以借助于?Linux?下?rpm?這個工具來完成驗證，操作如下：

[root@server?~]#?rpm?-Va

....L...?c?/etc/pam.d/system-auth

S?.5?.....?c?/etc/security/limits.conf

S?.5?....T?c?/etc/sysctl.conf

S?.5?....T?/etc/sgml/docbook-simple.cat

S?.5?....T?c?/etc/login.defs

S?.5?.....?c?/etc/openldap/ldap.conf

S?.5?....T?c?/etc/sudoers

⑥重新安裝系統(tǒng)恢復數(shù)據(jù)

很多情況下，被攻擊過的系統(tǒng)已經(jīng)不再可信任，因此，最好的方法是將服務器上面數(shù)據(jù)進行備份，然后重新安裝系統(tǒng)，最后再恢復數(shù)據(jù)即可。

數(shù)據(jù)恢復完成，馬上對系統(tǒng)做上面介紹的安全加固策略，保證系統(tǒng)安全。

最后，小編給您推薦，金山毒霸“文件粉碎”，您可以徹底粉碎文件或文件夾，粉碎后將無法刪除，保護您的隱私。