【HW系列】—溯源與定位—Linux入侵排查

文章目錄

  • 一、Linux入侵排查
    • 1.賬戶安全
    • 2.特權用戶排查（UID=0）
    • 3.查看歷史命令
    • 4.異常端口與進程
      • 端口排查
      • 進程排查
  • 二、溯源分析
    • 1. 威脅情報（Threat Intelligence）
    • 2. IP定位（IP Geolocation）
    • 3. 端口掃描（Port Scanning）
    • 4. 社會工程學（Social Engineering）
      • 💎 總結：溯源技術聯動框架

一、Linux入侵排查

1.賬戶安全

用戶信息文件：

cat /etc/passwd

在這里插入圖片描述

account:password:UID:GID:GECOS:directory:shell
用戶名 : 密碼（x代表密碼占位符，實際密碼存儲在/etc/shadow中）
用戶ID（UID） : 組ID（GID）
用戶說明（GECOS） : 家目錄路徑
登錄后默認Shell

關鍵說明

在這里插入圖片描述

排查思路
是否存在可疑用戶，除了root以外，是否有uid=0的用戶

2.特權用戶排查（UID=0）

檢測所有UID=0的賬戶

awk -F: '($3 == 0) {print $1}' /etc/passwd  # 列出所有UID=0的用戶

分析重點：
- 除root外，若存在其他UID=0賬戶（如toor、admin等），立即鎖定并調查。
- 攻擊者常創建隱藏特權賬戶維持權限。

驗證賬戶合法性

grep '用戶名' /etc/passwd  # 檢查賬戶Shell、家目錄等屬性
ls -l /home/用戶名         # 確認家目錄是否存在異常文件

可疑特征：
- Shell為/sbin/nologin卻可登錄
- 家目錄含非常規隱藏文件（如.ssh/authorized_keys異常公鑰）

sudo權限審查

  1. 檢查非root用戶的sudo權限
grep -v '^#\|^root' /etc/sudoers | grep 'ALL=(ALL)'  # 提取非root的sudo用戶

風險點：
- 普通業務賬戶不應擁有ALL=(ALL)權限，需按最小權限原則調整。
  1. 審計sudo日志
grep sudo /var/log/auth.log  # 查看sudo命令執行記錄

- 聚焦非運維時段或異常命令（如sudo su -、sudo vim /etc/passwd）。

賬戶管理操作
鎖定可疑賬戶

usermod -L 用戶名  # 鎖定賬戶（/etc/shadow密碼欄首加!）
passwd -l 用戶名    # 等效命令

徹底刪除賬戶

userdel -r 用戶名  # 刪除賬戶并移除家目錄

操作前務必備份：

cp -p /etc/passwd /etc/passwd.bak  # 備份賬戶文件
cp -p /etc/shadow /etc/shadow.bak

3.查看歷史命令

讀取全部命令

cat /root/.*_history | more

在這里插入圖片描述
主要分析惡意操作

4.異常端口與進程

端口排查

netstat -anltup

在這里插入圖片描述
和Windows分析一致
1. 檢測端口占用
在這里插入圖片描述

操作示例：

# 檢查80端口占用
sudo ss -tunlp | grep ':80'
sudo lsof -i :80

2. 分析端口狀態

  • 異常特征：
    • 非常用端口監聽（如10000以上隨機端口）
    • 外部IP連接（netstat -anp | grep ESTABLISHED）
    • 無關聯進程或進程名異常（如[deleted]提示可能為無文件進程）
      3. 防火墻與網絡配置
  • 檢查防火墻規則：
sudo iptables -L -n  # 查看iptables規則
sudo firewall-cmd --list-all  # firewalld規則（CentOS/RHEL）
  • 驗證端口連通性：
telnet 目標IP 端口號     # 測試TCP端口
nc -zv 目標IP 端口號    # 快速檢測（推薦）

進程排查

1. 基礎進程分析

2. 深度進程檢查

  • 查看進程詳細信息：
檢查進程真實路徑（若返回"deleted"可能為惡意進程）
ls -l /proc/<PID>/exe  
查看啟動命令及參數
cat /proc/<PID>/cmdline
  • 隱藏進程檢測：
對比系統進程列表與/proc目錄差異
ps -ef | awk '{print $2}' | sort -n > ps_pids.txt
ls /proc | grep -E '^[0-9]+$' | sort -n > proc_pids.txt
diff ps_pids.txt proc_pids.txt  # 差異項可能是隱藏進程

3. Rootkit檢測

  • 工具推薦：
sudo chkrootkit    掃描常見后門
sudo unhide proc   專查隱藏進程

二、溯源分析

1. 威脅情報（Threat Intelligence）

定義
威脅情報是通過收集、分析網絡攻擊數據（如IP、域名、惡意文件哈希等），形成可行動的威脅信息，用于預測、防御和響應攻擊。其核心價值在于將碎片化攻擊痕跡轉化為攻擊者畫像、戰術鏈條和防御策略。
主流平臺及地址

奇安信威脅情報中心：https://ti.qianxin.com/ |APT組織追蹤、攻擊鏈路還原、AI驅動分析|
微步在線ThreatBook：https://x.threatbook.com/ |暗網監控、ATT&CK戰術匹配、多維度拓線分析|
騰訊安全威脅情報中心:https://tix.qq.com/ |基礎情報+業務情報整合、IOC研判|

? 應用場景：快速研判惡意IP、分析釣魚郵件來源、關聯APT攻擊團伙活動。

2. IP定位（IP Geolocation）

物理定位技術

  • ANS定位（自治系統號定位）：
    通過ASN（如AS4538）關聯IP所屬運營商及地理區域（例：中國教育網覆蓋高校范圍）。
    命令示例：whois 58.192.55.255 查看ASN及歸屬機構。
  • 公開定位接口：
    在這里插入圖片描述

埃文科技:https://www.ipuu.net/
IP138:https://www.ip138.com/
MaxMind:https://www.maxmind.com/

?? 注意：境外IP定位精度受限，國內接口對本土IP支持更優。

3. 端口掃描（Port Scanning）

目的與方法

  • 作用：探測目標主機開放端口，識別潛在服務漏洞（如未授權的Redis端口6379）。
  • 常用工具：
    • nmap：綜合掃描（例：nmap -sV 192.168.1.1 檢測服務版本）；
    • masscan：高速全網掃描（適用于大規模資產普查）。
  • 防御關聯：
    結合威脅情報平臺（如微步在線），將掃描發現的異常IP與黑名單庫比對，快速判定風險。

4. 社會工程學（Social Engineering）

攻擊原理
利用人性弱點（信任、好奇、恐懼）誘騙泄露信息或執行惡意操作，非技術性突破防線的典型手段。
注冊網站檢測
https://www.reg007.com/search
網站歷史
https://archive.org/web/
社交軟件
https://checkusernames.com/
社交媒體
各種社交媒體

常見手法與防御
在這里插入圖片描述

💡 溯源應用：
分析釣魚郵件頭獲取發送IP → 結合威脅情報定位攻擊團伙 → 關聯歷史攻擊模式。

💎 總結：溯源技術聯動框架

graph LR
A[端口掃描發現異常IP] --> B{威脅情報比對}
B -->|命中黑名單| C[IP定位→物理地址]
B -->|未知IP| D[社會工程學線索分析]
C & D --> E[攻擊者畫像： 身份/工具/意圖]

通過技術+人性雙維度溯源，實現從“攻擊痕跡”到“攻擊者身份”的閉環。
工具鏈推薦：nmap（掃描） + 微步在線（情報） + 埃文IP定位（地理追蹤） + 員工安全意識培訓（防社工）。

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/web/82079.shtml
繁體地址，請注明出處：http://hk.pswp.cn/web/82079.shtml
英文地址，請注明出處：http://en.pswp.cn/web/82079.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

C++17新特性 Lambda表達式

C++17新特性 Lambda表達式

//lambda表達式的基本語法如下&#xff1a; /* [捕獲列表] (參數列表)mutable(可選)異常屬性 -> 返回類型 { // 函數體 }*/ 1&#xff0c;值捕獲 //1&#xff0c; 值捕獲示例 #include <iostream> void lambda_value_capture() {int value 1;auto copy_value/*返…
閱讀更多...
園區智能化集成平臺匯報方案

園區智能化集成平臺匯報方案

該方案為園區智能化集成平臺設計，依據《智能建筑設計標準》等 20 余項國家與行業規范，針對傳統園區信息孤島、反應滯后、經驗流失、管理粗放等痛點，構建可視化智慧園區管理平臺，實現大屏數據可視化、三維設備監控、智慧運維（含工單管理、巡檢打卡）、能源能耗分析、AI 安防…
閱讀更多...
Vue-自定義指令

Vue-自定義指令

自定義指令 簡單寫法 v-twoAge 功能&#xff1a; 當前年齡翻倍 注意&#xff1a;指令方法名稱 小寫 代碼 <!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8" /><title>自定義指令</title><!-- 引入V…
閱讀更多...
Kotlin 中的數據類型有隱式轉換嗎？為什么？

Kotlin 中的數據類型有隱式轉換嗎？為什么？

在 Kotlin 中&#xff0c;基本數據類型沒有隱式轉換。主要出于安全性和明確性的考慮。 1 Kotlin 的顯式類型轉換規則 Kotlin 要求開發者顯式調用轉換函數進行類型轉換&#xff0c; 例如&#xff1a; val a: Int 10 val b: Long a.toLong() // 必須顯式調用 toLong() // 錯…
閱讀更多...
Android獲取設備信息

Android獲取設備信息

使用java: List<TableMessage> dataListnew ArrayList<TableMessage>();//獲取設備信息Hashtable<String,String> ht MyDeviceInfo.getDeviceAllInfo2(LoginActivity.this);for (Map.Entry<String, String> entry : ht.entrySet()) {String key entry…
閱讀更多...
WIN11使用vscode搭建c語言開發環境

WIN11使用vscode搭建c語言開發環境

安裝 VS Code 下載地址: Visual Studio Code - Code Editing. Redefined 安裝時勾選 "添加到 PATH"&#xff08;方便在終端中調用 code 命令 下載 MSYS2 官網&#xff1a;MSYS2 下載 msys2-x86_64-xxxx.exe&#xff08;64位版本&#xff09;并安裝。 默認安裝路徑…
閱讀更多...
微信小程序帶數組參數跳轉頁面，微信小程序跳轉頁面帶數組參數

微信小程序帶數組參數跳轉頁面，微信小程序跳轉頁面帶數組參數

在微信小程序中&#xff0c;帶數組參數跳轉頁面需要通過JSON序列化和URL編碼處理&#xff0c;以下是具體實現方法 傳遞數組參數?&#xff08;發送頁面&#xff09; wx.navigateTo({url: /pages/targetPage?arr encodeURIComponent(JSON.stringify(yourArray)) });接收數組參…
閱讀更多...
Mac M1編譯OpenCV獲取libopencv_java490.dylib文件

Mac M1編譯OpenCV獲取libopencv_java490.dylib文件

Window OpenCV下載地址 https://opencv.org/releases/OpenCV源碼下載 https://github.com/opencv/opencv/tree/4.9.0 https://github.com/opencv/opencv_contrib/tree/4.9.0OpenCV依賴 brew install libjpeg libpng libtiff cmake3 ant freetype構建open CV cmake -G Ninja…
閱讀更多...
前端面試準備-3

前端面試準備-3

1.let、const、var的區別 ①&#xff1a;let和const為塊級作用域&#xff0c;var為全局作用域 ②&#xff1a;let和var可以重新賦值定義&#xff0c;而const不可以 ③&#xff1a;var會提升到作用域頂部&#xff0c;但不會初始化&#xff1b;let和const也會提升到作用不頂部…
閱讀更多...
Java 中 Lock 接口詳解：靈活強大的線程同步機制

Java 中 Lock 接口詳解：靈活強大的線程同步機制

在 Java 中&#xff0c;Lock 是一個接口&#xff0c;它提供了比 synchronized 關鍵字更靈活、更強大的線程同步機制。以下將詳細介紹 Lock 接口及其實現類&#xff0c;以及它與 synchronized 相比的優點。 Lock 接口及其實現類介紹 Lock 接口 Lock 接口定義了一系列用于獲取…
閱讀更多...
實驗分享|基于sCMOS相機科學成像技術的耐高溫航空涂層材料損傷檢測實驗

實驗分享|基于sCMOS相機科學成像技術的耐高溫航空涂層材料損傷檢測實驗

1實驗背景 航空發動機外殼的耐高溫涂層材料在長期高溫、高壓工況下易產生微小損傷與裂紋&#xff0c;可能導致嚴重安全隱患。傳統光學檢測手段受限于分辨率與靈敏度&#xff0c;難以捕捉微米級缺陷&#xff0c;且檢測效率低下。 某高校航空材料實驗室&#xff0c;采用科學相機…
閱讀更多...
python訓練營day40

python訓練營day40

知識點回顧&#xff1a; 彩色和灰度圖片測試和訓練的規范寫法&#xff1a;封裝在函數中展平操作&#xff1a;除第一個維度batchsize外全部展平dropout操作&#xff1a;訓練階段隨機丟棄神經元&#xff0c;測試階段eval模式關閉dropout 作業&#xff1a;仔細學習下測試和訓練代碼…
閱讀更多...
Baklib企業CMS全流程管控與智能協作

Baklib企業CMS全流程管控與智能協作

企業CMS全流程管控方案解析 現代企業內容管理中&#xff0c;全流程管控的實現依賴于對生產、審核、發布及迭代環節的系統化整合。通過動態發布引擎與元數據智能標記技術&#xff0c;系統可自動匹配內容與目標場景&#xff0c;實現標準化模板驅動的快速部署。針對多分支機構的復…
閱讀更多...
Qt程序添加調試輸出窗口:CONFIG += console

Qt程序添加調試輸出窗口:CONFIG += console

目錄 1.背景 2.解決方案 3.原理詳解 4.控制臺窗口的行為 5.條件編譯&#xff08;僅調試模式顯示控制臺&#xff09; 6.替代方案 7.總結 1.背景 在Qt程序開發中&#xff0c;開發者經常遇到這樣的困擾&#xff1a; 開發機上程序運行正常 發布到其他機器后程序無法啟動 …
閱讀更多...
《江西棒球資訊》棒球運動發展·棒球1號位

《江西棒球資訊》棒球運動發展·棒球1號位

聯賽體系結構 | League Structure MLB模式 MLB采用分層體系&#xff08;大聯盟、小聯盟&#xff09;&#xff0c;強調梯隊建設和長期發展。 MLB operates a tiered system (Major League, Minor League) with a focus on talent pipelines and long-term development. 中國現…
閱讀更多...
Python爬蟲實戰：研究Tornado框架相關技術

Python爬蟲實戰：研究Tornado框架相關技術

1. 引言 1.1 研究背景與意義 網絡爬蟲作為一種自動獲取互聯網信息的程序，在信息檢索、數據挖掘、輿情分析等領域有著廣泛的應用。隨著互聯網數據量的爆炸式增長，對爬蟲的性能和效率提出了更高的要求。傳統的同步爬蟲在處理大量 URL 時效率低下，而異步爬蟲可以顯著提高并發…
閱讀更多...
Vue-列表過濾排序

Vue-列表過濾排序

列表過濾 基礎環境 數據 persons: [{ id: "001", name: "劉德華", age: 19 },{ id: "002", name: "馬德華", age: 20 },{ id: "003", name: "李小龍", age: 21 },{ id: "004", name: "釋小龍&q…
閱讀更多...
JDK21深度解密 Day 9：響應式編程模型重構

JDK21深度解密 Day 9：響應式編程模型重構

【JDK21深度解密 Day 9】響應式編程模型重構 引言&#xff1a;從Reactor到虛擬線程的范式轉變 在JDK21中&#xff0c;虛擬線程的引入徹底改變了傳統的異步編程模型。作為"JDK21深度解密"系列的第91天&#xff0c;我們將聚焦于響應式編程模型重構這一關鍵主題。通過…
閱讀更多...
UE5打包項目設置Project Settings（打包widows exe安裝包）

UE5打包項目設置Project Settings（打包widows exe安裝包）

UE5打包項目Project Settings Edit-Project Settings- Packaging-Ini Section Denylist-Advanced 1&#xff1a;打包 2&#xff1a;高級設置 3&#xff1a;勾選創建壓縮包 4&#xff1a;添加要打包地圖Map的數量 5&#xff1a;選擇要打包的地圖Maps 6&#xff1a;Project-Bui…
閱讀更多...
Fastapi 學習使用

Fastapi 學習使用

Fastapi 學習使用 Fastapi 可以用來快速搭建 Web 應用來進行接口的搭建。 參考文章&#xff1a;https://blog.csdn.net/liudadaxuexi/article/details/141062582 參考文章&#xff1a;https://blog.csdn.net/jcgeneral/article/details/146505880 參考文章&#xff1a;http…
閱讀更多...
最新文章

Copyright @ 2022~2023