【HW系列】—溯源与定位—Linux入侵排查

文章目录

  • 一、Linux入侵排查
    • 1.账户安全
    • 2.特权用户排查（UID=0）
    • 3.查看历史命令
    • 4.异常端口与进程
      • 端口排查
      • 进程排查
  • 二、溯源分析
    • 1. 威胁情报（Threat Intelligence）
    • 2. IP定位（IP Geolocation）
    • 3. 端口扫描（Port Scanning）
    • 4. 社会工程学（Social Engineering）
      • 💎 总结：溯源技术联动框架

一、Linux入侵排查

1.账户安全

用户信息文件：

cat /etc/passwd

在这里插入图片描述

account:password:UID:GID:GECOS:directory:shell
用户名 : 密码（x代表密码占位符，实际密码存储在/etc/shadow中）
用户ID（UID） : 组ID（GID）
用户说明（GECOS） : 家目录路径
登录后默认Shell

关键说明

在这里插入图片描述

排查思路
是否存在可疑用户，除了root以外，是否有uid=0的用户

2.特权用户排查（UID=0）

检测所有UID=0的账户

awk -F: '($3 == 0) {print $1}' /etc/passwd  # 列出所有UID=0的用户

分析重点：
- 除root外，若存在其他UID=0账户（如toor、admin等），立即锁定并调查。
- 攻击者常创建隐藏特权账户维持权限。

验证账户合法性

grep '用户名' /etc/passwd  # 检查账户Shell、家目录等属性
ls -l /home/用户名         # 确认家目录是否存在异常文件

可疑特征：
- Shell为/sbin/nologin却可登录
- 家目录含非常规隐藏文件（如.ssh/authorized_keys异常公钥）

sudo权限审查

  1. 检查非root用户的sudo权限
grep -v '^#\|^root' /etc/sudoers | grep 'ALL=(ALL)'  # 提取非root的sudo用户

风险点：
- 普通业务账户不应拥有ALL=(ALL)权限，需按最小权限原则调整。
  1. 审计sudo日志
grep sudo /var/log/auth.log  # 查看sudo命令执行记录

- 聚焦非运维时段或异常命令（如sudo su -、sudo vim /etc/passwd）。

账户管理操作
锁定可疑账户

usermod -L 用户名  # 锁定账户（/etc/shadow密码栏首加!）
passwd -l 用户名    # 等效命令

彻底删除账户

userdel -r 用户名  # 删除账户并移除家目录

操作前务必备份：

cp -p /etc/passwd /etc/passwd.bak  # 备份账户文件
cp -p /etc/shadow /etc/shadow.bak

3.查看历史命令

读取全部命令

cat /root/.*_history | more

在这里插入图片描述
主要分析恶意操作

4.异常端口与进程

端口排查

netstat -anltup

在这里插入图片描述
和Windows分析一致
1. 检测端口占用
在这里插入图片描述

操作示例：

# 检查80端口占用
sudo ss -tunlp | grep ':80'
sudo lsof -i :80

2. 分析端口状态

  • 异常特征：
    • 非常用端口监听（如10000以上随机端口）
    • 外部IP连接（netstat -anp | grep ESTABLISHED）
    • 无关联进程或进程名异常（如[deleted]提示可能为无文件进程）
      3. 防火墙与网络配置
  • 检查防火墙规则：
sudo iptables -L -n  # 查看iptables规则
sudo firewall-cmd --list-all  # firewalld规则（CentOS/RHEL）
  • 验证端口连通性：
telnet 目标IP 端口号     # 测试TCP端口
nc -zv 目标IP 端口号    # 快速检测（推荐）

进程排查

1. 基础进程分析

2. 深度进程检查

  • 查看进程详细信息：
检查进程真实路径（若返回"deleted"可能为恶意进程）
ls -l /proc/<PID>/exe  
查看启动命令及参数
cat /proc/<PID>/cmdline
  • 隐藏进程检测：
对比系统进程列表与/proc目录差异
ps -ef | awk '{print $2}' | sort -n > ps_pids.txt
ls /proc | grep -E '^[0-9]+$' | sort -n > proc_pids.txt
diff ps_pids.txt proc_pids.txt  # 差异项可能是隐藏进程

3. Rootkit检测

  • 工具推荐：
sudo chkrootkit    扫描常见后门
sudo unhide proc   专查隐藏进程

二、溯源分析

1. 威胁情报（Threat Intelligence）

定义
威胁情报是通过收集、分析网络攻击数据（如IP、域名、恶意文件哈希等），形成可行动的威胁信息，用于预测、防御和响应攻击。其核心价值在于将碎片化攻击痕迹转化为攻击者画像、战术链条和防御策略。
主流平台及地址

奇安信威胁情报中心：https://ti.qianxin.com/ |APT组织追踪、攻击链路还原、AI驱动分析|
微步在线ThreatBook：https://x.threatbook.com/ |暗网监控、ATT&CK战术匹配、多维度拓线分析|
腾讯安全威胁情报中心:https://tix.qq.com/ |基础情报+业务情报整合、IOC研判|

✅ 应用场景：快速研判恶意IP、分析钓鱼邮件来源、关联APT攻击团伙活动。

2. IP定位（IP Geolocation）

物理定位技术

  • ANS定位（自治系统号定位）：
    通过ASN（如AS4538）关联IP所属运营商及地理区域（例：中国教育网覆盖高校范围）。
    命令示例：whois 58.192.55.255 查看ASN及归属机构。
  • 公开定位接口：
    在这里插入图片描述

埃文科技:https://www.ipuu.net/
IP138:https://www.ip138.com/
MaxMind:https://www.maxmind.com/

⚠️ 注意：境外IP定位精度受限，国内接口对本土IP支持更优。

3. 端口扫描（Port Scanning）

目的与方法

  • 作用：探测目标主机开放端口，识别潜在服务漏洞（如未授权的Redis端口6379）。
  • 常用工具：
    • nmap：综合扫描（例：nmap -sV 192.168.1.1 检测服务版本）；
    • masscan：高速全网扫描（适用于大规模资产普查）。
  • 防御关联：
    结合威胁情报平台（如微步在线），将扫描发现的异常IP与黑名单库比对，快速判定风险。

4. 社会工程学（Social Engineering）

攻击原理
利用人性弱点（信任、好奇、恐惧）诱骗泄露信息或执行恶意操作，非技术性突破防线的典型手段。
注册网站检测
https://www.reg007.com/search
网站历史
https://archive.org/web/
社交软件
https://checkusernames.com/
社交媒体
各种社交媒体

常见手法与防御
在这里插入图片描述

💡 溯源应用：
分析钓鱼邮件头获取发送IP → 结合威胁情报定位攻击团伙 → 关联历史攻击模式。

💎 总结：溯源技术联动框架

graph LR
A[端口扫描发现异常IP] --> B{威胁情报比对}
B -->|命中黑名单| C[IP定位→物理地址]
B -->|未知IP| D[社会工程学线索分析]
C & D --> E[攻击者画像： 身份/工具/意图]

通过技术+人性双维度溯源，实现从“攻击痕迹”到“攻击者身份”的闭环。
工具链推荐：nmap（扫描） + 微步在线（情报） + 埃文IP定位（地理追踪） + 员工安全意识培训（防社工）。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.pswp.cn/web/82079.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

C++17新特性 Lambda表达式

C++17新特性 Lambda表达式

//lambda表达式的基本语法如下&#xff1a; /* [捕获列表] (参数列表)mutable(可选)异常属性 -> 返回类型 { // 函数体 }*/ 1&#xff0c;值捕获 //1&#xff0c; 值捕获示例 #include <iostream> void lambda_value_capture() {int value 1;auto copy_value/*返…
阅读更多...
园区智能化集成平台汇报方案

园区智能化集成平台汇报方案

该方案为园区智能化集成平台设计，依据《智能建筑设计标准》等 20 余项国家与行业规范，针对传统园区信息孤岛、反应滞后、经验流失、管理粗放等痛点，构建可视化智慧园区管理平台，实现大屏数据可视化、三维设备监控、智慧运维（含工单管理、巡检打卡）、能源能耗分析、AI 安防…
阅读更多...
Vue-自定义指令

Vue-自定义指令

自定义指令 简单写法 v-twoAge 功能&#xff1a; 当前年龄翻倍 注意&#xff1a;指令方法名称 小写 代码 <!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8" /><title>自定义指令</title><!-- 引入V…
阅读更多...
Kotlin 中的数据类型有隐式转换吗？为什么？

Kotlin 中的数据类型有隐式转换吗？为什么？

在 Kotlin 中&#xff0c;基本数据类型没有隐式转换。主要出于安全性和明确性的考虑。 1 Kotlin 的显式类型转换规则 Kotlin 要求开发者显式调用转换函数进行类型转换&#xff0c; 例如&#xff1a; val a: Int 10 val b: Long a.toLong() // 必须显式调用 toLong() // 错…
阅读更多...
Android获取设备信息

Android获取设备信息

使用java: List<TableMessage> dataListnew ArrayList<TableMessage>();//获取设备信息Hashtable<String,String> ht MyDeviceInfo.getDeviceAllInfo2(LoginActivity.this);for (Map.Entry<String, String> entry : ht.entrySet()) {String key entry…
阅读更多...
WIN11使用vscode搭建c语言开发环境

WIN11使用vscode搭建c语言开发环境

安装 VS Code 下载地址: Visual Studio Code - Code Editing. Redefined 安装时勾选 "添加到 PATH"&#xff08;方便在终端中调用 code 命令 下载 MSYS2 官网&#xff1a;MSYS2 下载 msys2-x86_64-xxxx.exe&#xff08;64位版本&#xff09;并安装。 默认安装路径…
阅读更多...
微信小程序带数组参数跳转页面，微信小程序跳转页面带数组参数

微信小程序带数组参数跳转页面，微信小程序跳转页面带数组参数

在微信小程序中&#xff0c;带数组参数跳转页面需要通过JSON序列化和URL编码处理&#xff0c;以下是具体实现方法 传递数组参数‌&#xff08;发送页面&#xff09; wx.navigateTo({url: /pages/targetPage?arr encodeURIComponent(JSON.stringify(yourArray)) });接收数组参…
阅读更多...
Mac M1编译OpenCV获取libopencv_java490.dylib文件

Mac M1编译OpenCV获取libopencv_java490.dylib文件

Window OpenCV下载地址 https://opencv.org/releases/OpenCV源码下载 https://github.com/opencv/opencv/tree/4.9.0 https://github.com/opencv/opencv_contrib/tree/4.9.0OpenCV依赖 brew install libjpeg libpng libtiff cmake3 ant freetype构建open CV cmake -G Ninja…
阅读更多...
前端面试准备-3

前端面试准备-3

1.let、const、var的区别 ①&#xff1a;let和const为块级作用域&#xff0c;var为全局作用域 ②&#xff1a;let和var可以重新赋值定义&#xff0c;而const不可以 ③&#xff1a;var会提升到作用域顶部&#xff0c;但不会初始化&#xff1b;let和const也会提升到作用不顶部…
阅读更多...
Java 中 Lock 接口详解：灵活强大的线程同步机制

Java 中 Lock 接口详解：灵活强大的线程同步机制

在 Java 中&#xff0c;Lock 是一个接口&#xff0c;它提供了比 synchronized 关键字更灵活、更强大的线程同步机制。以下将详细介绍 Lock 接口及其实现类&#xff0c;以及它与 synchronized 相比的优点。 Lock 接口及其实现类介绍 Lock 接口 Lock 接口定义了一系列用于获取…
阅读更多...
实验分享|基于sCMOS相机科学成像技术的耐高温航空涂层材料损伤检测实验

实验分享|基于sCMOS相机科学成像技术的耐高温航空涂层材料损伤检测实验

1实验背景 航空发动机外壳的耐高温涂层材料在长期高温、高压工况下易产生微小损伤与裂纹&#xff0c;可能导致严重安全隐患。传统光学检测手段受限于分辨率与灵敏度&#xff0c;难以捕捉微米级缺陷&#xff0c;且检测效率低下。 某高校航空材料实验室&#xff0c;采用科学相机…
阅读更多...
python训练营day40

python训练营day40

知识点回顾&#xff1a; 彩色和灰度图片测试和训练的规范写法&#xff1a;封装在函数中展平操作&#xff1a;除第一个维度batchsize外全部展平dropout操作&#xff1a;训练阶段随机丢弃神经元&#xff0c;测试阶段eval模式关闭dropout 作业&#xff1a;仔细学习下测试和训练代码…
阅读更多...
Baklib企业CMS全流程管控与智能协作

Baklib企业CMS全流程管控与智能协作

企业CMS全流程管控方案解析 现代企业内容管理中&#xff0c;全流程管控的实现依赖于对生产、审核、发布及迭代环节的系统化整合。通过动态发布引擎与元数据智能标记技术&#xff0c;系统可自动匹配内容与目标场景&#xff0c;实现标准化模板驱动的快速部署。针对多分支机构的复…
阅读更多...
Qt程序添加调试输出窗口:CONFIG += console

Qt程序添加调试输出窗口:CONFIG += console

目录 1.背景 2.解决方案 3.原理详解 4.控制台窗口的行为 5.条件编译&#xff08;仅调试模式显示控制台&#xff09; 6.替代方案 7.总结 1.背景 在Qt程序开发中&#xff0c;开发者经常遇到这样的困扰&#xff1a; 开发机上程序运行正常 发布到其他机器后程序无法启动 …
阅读更多...
《江西棒球资讯》棒球运动发展·棒球1号位

《江西棒球资讯》棒球运动发展·棒球1号位

联赛体系结构 | League Structure MLB模式 MLB采用分层体系&#xff08;大联盟、小联盟&#xff09;&#xff0c;强调梯队建设和长期发展。 MLB operates a tiered system (Major League, Minor League) with a focus on talent pipelines and long-term development. 中国现…
阅读更多...
Python爬虫实战：研究Tornado框架相关技术

Python爬虫实战：研究Tornado框架相关技术

1. 引言 1.1 研究背景与意义 网络爬虫作为一种自动获取互联网信息的程序，在信息检索、数据挖掘、舆情分析等领域有着广泛的应用。随着互联网数据量的爆炸式增长，对爬虫的性能和效率提出了更高的要求。传统的同步爬虫在处理大量 URL 时效率低下，而异步爬虫可以显著提高并发…
阅读更多...
Vue-列表过滤排序

Vue-列表过滤排序

列表过滤 基础环境 数据 persons: [{ id: "001", name: "刘德华", age: 19 },{ id: "002", name: "马德华", age: 20 },{ id: "003", name: "李小龙", age: 21 },{ id: "004", name: "释小龙&q…
阅读更多...
JDK21深度解密 Day 9：响应式编程模型重构

JDK21深度解密 Day 9：响应式编程模型重构

【JDK21深度解密 Day 9】响应式编程模型重构 引言&#xff1a;从Reactor到虚拟线程的范式转变 在JDK21中&#xff0c;虚拟线程的引入彻底改变了传统的异步编程模型。作为"JDK21深度解密"系列的第91天&#xff0c;我们将聚焦于响应式编程模型重构这一关键主题。通过…
阅读更多...
UE5打包项目设置Project Settings（打包widows exe安装包）

UE5打包项目设置Project Settings（打包widows exe安装包）

UE5打包项目Project Settings Edit-Project Settings- Packaging-Ini Section Denylist-Advanced 1&#xff1a;打包 2&#xff1a;高级设置 3&#xff1a;勾选创建压缩包 4&#xff1a;添加要打包地图Map的数量 5&#xff1a;选择要打包的地图Maps 6&#xff1a;Project-Bui…
阅读更多...
Fastapi 学习使用

Fastapi 学习使用

Fastapi 学习使用 Fastapi 可以用来快速搭建 Web 应用来进行接口的搭建。 参考文章&#xff1a;https://blog.csdn.net/liudadaxuexi/article/details/141062582 参考文章&#xff1a;https://blog.csdn.net/jcgeneral/article/details/146505880 参考文章&#xff1a;http…
阅读更多...
最新文章

Copyright @ 2022~2023