网络安全参考 | UNIX参考 | GPS参考 | 无线参考 | 在线手册 | OSBUG.ORG | SUNNY-NETWORK.COM
网站地图 RSS订阅
高级搜索 收藏本站
Home | 业界动态 | 防火墙 | IDS/IPS | VPN | PKI | Honeypot | Hacker/Intruder | 黑客技术 | 破解技术 | 加密技术 | 病毒防护 | 木马 | 反垃圾邮件 | 反流氓软件 | 漏洞 | 无线安全 | UNIX | Windows | 安全编程 | 安全软件 | TPM/TCG | 数据恢复 | 企业信息安全 | 个人信息安全
 当前位置: Home > UNIX > 文章  
系统安全防护之UNIX下入侵检测方法
文章来源: 黑客基地 文章作者: langren123 发布时间: 2007-02-08   字体: [ ]
 

  因为UNIX系统经常承当着关键任务,所以它经常是入侵者攻击的首选目标。于是检测入侵、保护系统安全是管理员的最为重要的任务之一。那么,在没有其它工具帮助的情况下,如何去判断系统当前的安全性?如何去发现入侵呢?下面给大家介绍一些常用到的检查方法。

  以LINUX和solaris为例:

  1、检查系统密码文件

  首先从明显的入手,查看一下passwd文件,ls –l /etc/passwd查看文件修改的日期。

  输入命令

awk –F:’$3==0 {print $1}’ /etc/passwd

  来检查一下passwd文件中有哪些特权用户,系统中uid为0的用户都会被显示出来。顺便再检查一下系统里有没有空口令帐户:

awk –F: ‘length($2)==0 {print $1}’ /etc/shadow

  2、查看一下进程,看看有没有奇怪的进程

  重点查看进程:ps –aef | grep inetd。Inetd是UNIX系统的守护进程,正常的inetd的pid都比较靠前,如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程,着重看inetd –s后面的内容。在正常情况下,LINUX系统中的inetd服务后面是没有-s参数的,当然也没有用inetd去启动某个文件;而solaris系统中也仅仅是inetd –s,同样没有用inetd去启动某个特定的文件;如果你使用ps命令看到inetd启动了某个文件,而你自己又没有用inetd启动这个文件,那就说明已经有人入侵了你的系统,并且以root权限起了一个简单的后门。

  输入ps –aef 查看输出信息,尤其注意有没有以./xxx开头的进程。一旦发现异样的进程,经检查为入侵者留下的后门程序,立即运行kill –9 pid 开杀死该进程,然后再运行ps –aef查看该进程是否被杀死;一旦此类进程出现杀死以后又重新启动的现象,则证明系统被人放置了自动启动程序的脚本。这个时候要进行仔细查找:find / -name 程序名 –print,假设系统真的被入侵者放置了后门,根据找到的程序所在的目录,UNIX下隐藏进程有的时候通过替换ps文件来做,检测这种方法涉及到检查文件完整性,一会我们再讨论这种方法。接下来根据找到入侵者在服务器上的文件目录,一步一步进行追踪。

  3、检查系统守护进程

  检查/etc/inetd.conf文件,输入:

cat /etc/inetd.conf | grep –v “^#”

  输出的信息就是你这台机器所开启的远程服务。一般入侵者可以通过直接替换in.xxx程序来创建一个后门,比如用/bin/sh 替换掉in.telnetd,然后重新启动inetd服务,那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。

  4、检查网络连接和监听端口

  输入netstat -an,列出本机所有的连接和监听的端口,查看有没有非法连接。
  输入netstat –rn,查看本机的路由、网关设置是否正确。
  输入 ifconfig –a,查看网卡设置。

  5、检查系统日志

  命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程,这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog,查看系统syslog进程的情况,判断syslog上次启动的时间是否正常,因为syslog是以root身份执行的,如果发现syslog被非法动过,那说明有重大的入侵事件。

  在linux下输入ls –al /var/log
  在solaris下输入 ls –al /var/adm

  检查wtmp utmp,包括messgae等文件的完整性和修改时间是否正常,这也是手工擦除入侵痕迹的一种方法。

 
推荐文章
·通过Linux系统伪装方法加固系统
·通过Linux系统伪装方法加固系统
·关于Linux系统安全管理技巧详解(
 

 
共2页: 上一页 1 [2] 下一页
↑返回顶部   打印本页   关闭窗口↓  

Google
 
Web oldhand.org unixreference.net meshmea.org
热点文章
·找回Linux/Unix下各系统
·关于Linux系统安全管理
·如何使Linux起到防火墙
·侦测系统入侵事项
·Unix的入侵追踪
·通过Linux系统伪装方法
·通过Linux系统伪装方法
·Fedora目录服务器 存在
相关分类
相关文章
·通过Linux系统伪装方法
·通过Linux系统伪装方法
·找回Linux/Unix下各系统
·关于Linux系统安全管理
·如何使Linux起到防火墙
·侦测系统入侵事项
·Unix的入侵追踪
更多...
 
 

Copyright(c) 2001-2008 OLDHAND ORGANIZATION, All Rights reserved.
Power by DedeCms 织梦内容管理系统
$Id: article_article.html,v 1.3 2007/02/10 12:00:37 yjs Exp $