怀疑你的Linux服务器被入侵了？快来排查一下吧

在面对Linux系统疑似被入侵的情况下，快速而有效地进行应急响应和排查是至关重要的。本文将带你全面了解应急响应的排查思路和掌握必要的基础技能，帮助你在第一时间解决问题，保障系统安全。

🧑 博主简介：现任阿里巴巴嵌入式技术专家，15年工作经验，深耕嵌入式+人工智能领域，精通嵌入式领域开发、技术管理、简历招聘面试。各技术博客社区平台的优质创作者，提供产品测评、学习辅导、简历面试辅导、毕设辅导、项目开发、C/C++/Java/Python/Linux/AI等方面的服务，如有需要请站内私信或者联系任意文章底部的的VX名片（ID：gylzbk）

💬 博主粉丝群介绍：① 群内高中生、本科生、研究生、博士生遍布，可互相学习，交流困惑。② 热榜常客也在群里，也有数不清的万粉大佬，可以交流写作技巧，上榜经验，涨粉秘籍。③ 群内也有职场精英，大厂大佬，可交流技术、面试、找工作的经验。④ 进群免费赠送写作秘籍一份，助你由写作小白晋升为创作大佬。⑤ 群里红包不断，异常活跃，感兴趣的加我vx（ID：gylzbk），拉你进群，互相学习共同进步。

应急响应基础技能

基本技能和工具

在进行应急响应之前，掌握以下基础技能和工具是必不可少的：

1. 基本的Linux命令操作：如ls, cat, grep, find, awk, sed等。
2. 日志分析能力：熟悉系统和应用日志文件的位置和格式，如/var/log目录下的日志文件。
3. 网络连接和端口分析：使用netstat, ss, nmap等工具。
4. 文件完整性检查工具：使用md5sum, sha256sum等工具检验文件完整性。
5. 系统和用户进程管理：如ps, top, htop等。

应急响应排查思路

1. 初步调查

1.1 确认事件类型

首先需要明确当前是遭遇何种安全事件，例如：

• 入侵检测
• 恶意软件感染
• 数据泄露
• 拒绝服务（DDoS）攻击

1.2 检查系统异常

检查系统中是否有以下异常现象：

• 系统性能显著下降
• 未授权的用户登录或进程
• 磁盘空间异常减少

2. 数据收集

2.1 获取登录历史

使用last和lastb命令查看系统的用户登录和失败的登录尝试记录。

last
lastb

2.1.1 实例输出

$ last
username pts/0 192.168.0.105 Wed Sep 22 10:21 still logged in
username pts/0 192.168.0.105 Wed Sep 22 09:56 - 10:21 (00:24)
reboot system boot 4.15.0-142-generic Wed Sep 22 09:55 - 10:22 (00:27)
# 表示用户username在2021年9月22日上午10点21分登录并仍然在线。

2.2 检查系统日志

查看系统日志，尤其是auth.log（认证日志）和syslog（系统日志）。

tail -n 100 /var/log/auth.log
tail -n 100 /var/log/syslog

2.2.1 示例内容

$ tail -n 100 /var/log/auth.log
Sep 22 10:21:17 hostname sshd[12345]: Accepted password for username from 192.168.0.105 port 54321 ssh2
# 表示一次成功的SSH登录尝试。

2.3 网络连接和端口监控

使用netstat或ss命令查看当前的网络连接和监听端口。

netstat -tulnp
ss -tulnp

2.3.1 示例输出

$ netstat -tulnp
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1234/sshd
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      5678/nginx

2.4 进程与服务检查

使用ps或top命令查看系统中的当前进程和服务。

ps aux
top

2.4.1 示例输出

$ ps aux
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root       1234  0.0  0.1 125684  3644 ?        Ss   Sep22   0:00 /usr/sbin/sshd
www-data   5678  0.2  1.2 123456 123456 ?       S    Sep22   0:23 nginx: worker process

2.5 文件完整性检查

使用find命令查找系统中近期被修改的文件。

find / -mtime -1

2.5.1 示例输出

$ find / -mtime -1
/var/log/auth.log
/etc/passwd

2.6 检查开机启动项

查看系统中的开机启动项，检查是否存在异常的启动项。

# 对于系统d
systemctl list-unit-files --type=service --state=enabled

# 检查rc.local
cat /etc/rc.local

# 检查crontab
crontab -l
ls /etc/cron.*
ls /var/spool/cron/crontabs

2.7 检查计划任务

查看cron计划任务，确认是否存在可疑的定时任务。

crontab -l
cat /etc/crontab
ls /etc/cron.d/
cat /etc/cron.hourly/
cat /etc/cron.daily/

3. 分析与确认

3.1 分析登录记录与日志

• 检查是否有可疑的登录记录和失败的登录尝试。
• 查看日志中是否存在可疑的错误或警告信息。

3.2 分析网络连接

• 确认所有监听端口和网络连接是否正常。
• 使用tcpdump或wireshark进行网络流量捕获和分析。

tcpdump -i eth0

3.2.1 示例输出

$ tcpdump -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
10:23:04.123456 IP 192.168.0.105.54321 > 192.168.0.100.80: Flags [S], seq 1234567890, win 29200, options [mss 1460,sackOK,TS val 1234567890 ecr 0,nop,wscale 7], length 0

3.3 分析进程和服务

• 检查是否有可疑的进程占用大量系统资源。
• 确认所有正在运行的服务是否正常。

3.3.1 高CPU占用进程示例

$ top
top - 10:24:01 up  1:29,  1 user,  load average: 0.10, 0.15, 0.09
Tasks:  93 total,   1 running,  92 sleeping,   0 stopped,   0 zombie
%Cpu(s): 25.0 us,  5.9 sy,  0.0 ni, 69.1 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem :  2047120 total,   800764 free,   126904 used,  1119452 buff/cache
KiB Swap:  2097148 total,  2097148 free,        0 used.  1756024 avail Mem

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND
 5678 www-data  20   0 123456 123456  12345 S  50.0  6.0   0:30.01 nginx: worker process

3.4 验证文件完整性

• 检查最近修改的文件（如系统配置文件，二进制文件等）是否有异常修改。
• 使用diff命令对比文件内容是否发生变化。

md5sum /var/log/auth.log
sha256sum /etc/passwd

3.4.1 文件校验示例

$ md5sum /etc/passwd
5d41402abc4b2a76b9719d911017c592  /etc/passwd

4. 联网分析与对策

4.1 隔离受感染系统

若确认系统被入侵或恶意软件感染，立即从网络中隔离受感染的系统，以防进一步扩散。

4.2 事件报告

向相关安全团队和管理人员进行详细的事件报告，记录调查过程、发现和采取的措施。

4.3 恢复与加固

• 清理系统中的恶意软件和后门。
• 更新系统和应用软件，修补漏洞，确保没有残留的恶意代码。
• 修改受影响用户的密码和密钥，确保剩余的系统安全。

4.4 事后总结与改进

• 分析事件原因，查明漏洞源头，记录教训。
• 更新和完善事件响应计划，改进系统安全策略和防御措施。

常用工具和命令汇总

文件与日志操作

系统状态监控

网络监控

文件完整性检查

用户和权限管理

进阶工具

结语

如果你怀疑你的Linux系统已经被入侵，不要惊慌。通过上述详细的排查步骤和常用命令工具，你将能够迅速、有效地应对安全事件，减少损失并恢复系统正常运行。掌握这些技能对保障系统安全至关重要。

祝你在保障系统安全的道路上顺利前行！