|
rootkit是Linux系统下最常见的一种木马后门工具，它主要通过替换系统文件来达到入侵和和隐蔽的目的，这种木马比普通木马后门更加危险和隐蔽，普通的检测工具和检查手段很难发现这种木马。rootkit攻击能力极强，对系统的危害很大，它通过一套工具来建立后门和隐藏行迹，从而让攻击者保住权限，以使它在任何时候都可以使用root 权限登录到系统。rootkit主要有两种类型：文件级别和内核级别。
工具介绍 rkhunter是Linux系统平台下的一款开源入侵检测工具，具有非常全面的扫描范围，除了能够检测各种已知的rootkit特征码以外，还支持端口扫描、常用程序文件的变动情况检查。 它主要执行下面一系列的测试： MD5校验测试, 检测任何文件是否改动. 检测rootkits使用的二进制和系统工具文件. 检测特洛伊木马程序的特征码. 检测大多常用程序的文件异常属性. 执行一些系统相关的测试 - 因为rootkit hunter可支持多个系统平台. 扫描任何混杂模式下的接口和后门程序常用的端口. 检测如/etc/rc.d/目录下的所有配置文件, 日志文件, 任何异常的隐藏文件等等. 例如, 在检测/dev/.udev和/etc/.pwd.lock文件时候, 我的系统被警告. 对一些使用常用端口的应用程序进行版本测试. 如: Apache Web Server, Procmail等.
安装与使用 在这里下载rkhunter-1.4.6.tar.gz安装包。 如果你下载到的是本机上，利用文件传输的工具，上传到服务器。 解压文件 tar zxvf rkhunter-1.4.6.tar.gz 安装 cd rkhunter-1.4.6/ ./installer.sh --install 全面检查 rkhunter -c 首先检查系统命令，发现有异常的，就会有warning。出现warning的，我们就要去查看一下文件是否已经被修改。
第二步，回车，检查rootkits，进行木马特征库的一个匹配。
第三步，回车，进行另一些类型的rootkits检查
第四步，回车，检测网络
比如就检查出了root用户远程登录的一个安全隐患 Checking if SSH root access is allowed [ Warning ] 第五步，检查软件的版本漏洞，并且最后给出一个报告，见checks summary。
一直敲回车挺麻烦的，因此我们可以用这个命令，让程序自动运行。 /usr/local/bin/rkhunter --check --skip-keypress 通过之前的使用，会觉得这个工具检测的还挺全面的，但是，我们每天去操作一次，也是很麻烦，因此需要讲程序放到crontab里面，这样每天我们只需要去看报告就行了。可以执行以下的命令 vim /etc/crontab（给crontab添加内容） 键盘输入i进入编辑模式，在最后一行添加如下内容 这样这个检测程序就会在每天12：00 运行一次。 00 12 * * * root /usr/local/bin/rkhunter --check --cronjob
输入完以后，按Esc，然后输入：wqa
总结 使用这个开源工具，一定程度上检测了一些后门，一些漏洞，对服务器的安全会有很多帮助。最后附上两种级别的rootkit的相关知识，了解这些，能够更加理解使用本工具的作用。 文件级别的rootkit: 一般是通过程序漏洞或者系统漏洞进入系统后，通过修改系统的重要文件来达到隐藏自己的目的。在系统遭受rootkit攻击后，合法的文件被木马程序替代，变成了外壳程序，而其内部是隐藏着的后门程序。通常容易被rootkit替换的系统程序有login、ls、ps、ifconfig、du、find、netstat等。文件级别的rootkit，对系统维护很大，目前最有效的防御方法是定期对系统重要文件的完整性进行检查，如Tripwire、aide等。 内核级rootkit: 是比文件级rootkit更高级的一种入侵方式，它可以使攻击者获得对系统底层的完全控制权，此时攻击者可以修改系统内核，进而截获运行程序向内核提交的命令，并将其重定向到入侵者所选择的程序并运行此程序。内核级rootkit主要依附在内核上，它并不对系统文件做任何修改。以防范为主。
相关主题 |
