Linuxシステムがハッキングされているかどうか

一般的な名前は「スクリプト悪魔」です。正しいパッチをすべてインストールし、ファイアウォールをテストし、高度な侵入検知システムを複数のレベルでアクティブ化すると、ハッキングされるのは1つのケースだけです。たとえば、BIND用の最新のパッチをインストールするなど、やることが遅すぎる。

スクリプトを実行すると、有名な「ルートキット」や人気の高いスパイツールがダウンロードされてCPUを占有することになるのは、もっと深刻です。 、メモリ、データおよび帯域幅。これらの悪者はどこから始まったのでしょうか。これはルートキットから始まります。

ルートキットは、実際にはハッカーが自分のマシンへのルートレベルのアクセス権を自分自身に提供するために使用するパッケージです。ハッカーがあなたのマシンにrootとしてアクセスできるようになれば、すべて完了です。あなたがすることができる唯一のことは最速の効率であなたのデータをバックアップして、ハードドライブをきれいにして、そしてオペレーティングシステムを再インストールすることです。いずれにせよ、いったんあなたのマシンが誰かに引き継がれたら、回復は簡単な作業ではありません。

psコマンドを信頼できますか？

ルートキットを見つけるための最初のトリックは、psコマンドを実行することです。すべてを見るのは普通のことかもしれません。図はpsコマンドの出力例です。本当の質問は、「すべてが本当に普通なのか？」です。 'ハッカーがよく使用するトリックの1つは、psコマンドを置き換えることです。この置き換えのpsは、マシン上で実行されている不正なプログラムを表示しません。テストするには、psファイルのサイズをチェックする必要がありますが、これは通常/bin /psにあり、Linuxマシンでは約60kBですが、最近ルートキットで置き換えられたpsプログラムは約12kBです。サイズです。

もう1つの明らかな詐欺は、rootのコマンド履歴ファイルを/dev /nullにリンクすることですこのコマンド履歴ファイルは、Linuxマシンにログインしたユーザーの追跡と記録に使用されます。命じた。履歴ファイルを/dev /nullにリダイレクトするハッカーの目的は、それらが入力したコマンドを見ることができないということです。

シェルプロンプトでhistoryと入力すると履歴ファイルにアクセスできます。 historyコマンドを使用していて、それが以前に使用したコマンドのリストに表示されない場合は、〜/.bash_historyファイルを見てください。ファイルが空の場合は、ls -l〜/.bash_historyコマンドを実行してください。上記のコマンドを実行すると、次のような出力が表示されます。

-rw—— 1 jd jd 13829 Oct 10 17:06 /home/jd/.bash_history

または、次のような出力が表示されることがあります。

lrwxrwxrwx 1 jd jd 9 Oct 10 19:40 /home/jd/.bash_history - > /dev /null

2番目に表示されるのは、.bash_historyファイルが/dev /nullにリダイレクトされていることを示していますこれは致命的なメッセージですインターネットからコンピュータを直ちに切断し、できるだけ多くのファイルをバックアップします。データを入力してシス​​テムの再インストールを開始します。

未知のユーザーアカウントを探す

あなたのLinuxマシンでテストをするつもりなら、まず未知のユーザーアカウントをチェックするのが賢明です。次回Linuxマシンにログインするときは、次のコマンドを入力します。

grep：x：0：/etc /passwd

1行しかありません。標準でもう一度強調します。 Linuxインストールでは、grepコマンドは次のように1行だけを返します。

root：x：0：0：root：/root：/bin /bash

以前に入力した場合grepコマンドの実行後、システムは複数の行を返すため、問題が発生する可能性があります。 UIDが0のユーザーは1人だけでなければならず、grepコマンドが複数の行を返す場合、それは複数のユーザーを意味します。

本気で、これらはハッキングを発見するための良い基本的な方法ですが。しかし、これらの技術だけでは十分なセキュリティを構成することはできず、その深さと幅は、この記事で言及されている侵入検知システムよりはるかに悪くなります。

Youth Networkの提案は、あなたのシステムが本当に問題であると思われる場合は、Linuxのセキュリティ専門家に電話して彼の意見を参考にしてください。結局のところ、Linuxのセキュリティはすぐにできます。
zh-CN"],null,[1],zh-TW"]]]