清除病毒
从第1个环节追溯到的进程信息,将会帮助我们定位到病毒进程&病毒文件,实现清除。
结束病毒进程清除可疑进程的进程链:
ps -elf | grep [pid] kill -9 [pid]
删除病毒文件
定位病毒进程对应的文件路径:
ls -al /proc/[pid]/exe rm -f [exe_path]
闭环兜底
Linux下的病毒持久化驻留方式相比于Windows较少,主要以下4种方式。
检查是否存在可疑定时任务枚举定时任务:crontab-l
查看anacron异步定时任务:cat/etc/anacrontab
检查是否存在可疑服务
枚举主机所有服务,查看是否有恶意服务:
service--status-all检查系统文件是否被劫持
枚举系统文件夹的文件,按修改事件排序查看7天内被修改过的文件:
find /usr/bin/ /usr/sbin/ /bin/ /usr/local/bin/ -type f -mtime +7 | xargs ls -la检查是否存在病毒守护进程
监控守护进程的行为:lsof-p[pid]
strace-tt-T -etrace=all-p$pid 扫描是否存在恶意驱动
枚举/扫描系统驱动:lsmod
安装chkrootkit进行扫描:
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gztar zxvf chkrootkit.tar.gzcd chkrootkit-0.52make sense./chkrootkit安装rkhunter进行扫描:
Wgethttps://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz
tar -zxvf rkhunter-1.4.4.tar.gz
cd rkhunter-1.4.4
./installer.sh --install
rkhunter -c
最后一个环节往往是大家比较容易遗忘的,Linux平台下90%的病毒是通过网络传播感染的,所以,你的主机之所以会感染病毒,大部分原因也是因为Web安全防护不够,赶紧检查一下。
修改SSH弱密码
查询log主机登陆日志:
grep "Accepted " /var/log/secure* | awk '{print $1,$2,$3,$9,$11}'定位有爆破的源IP:
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?).(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?).(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?).(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c