思路
1.扫描检测
- 扫描木马工具：
clamAV官网：http://pkgs.repoforge.org/clamav/ - CentOS 安装：
yum install -y clamav* - 启动 clamAV 服务：
service clamd restart - 更新病毒库：
freshclam - 扫描方法：
- 扫描 /etc 目录，并把扫描结果放在 /root 目录下：
clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log - 扫描 /bin 目录，并把扫描结果放在 /root 目录下：
clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log - 扫描 /usr 目录，并把扫描结果放在 /root 目录下：
clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log
- 扫描 /etc 目录，并把扫描结果放在 /root 目录下：
- 如果日志有类似内容，表示有木马病毒：
/usr/bin/.sshd: Linux.Trojan.Agent FOUND/usr/sbin/ss: Linux.Trojan.Agent FOUND/usr/sbin/lsof: Linux.Trojan.Agent FOUND
2.查看登录日志
- 看下当前有多少登录者：
who - 看下最近有哪些登录者：
last - 查看最近尝试登录的账号信息：
grep "sshd" /var/log/secure很多这种信息就表示有人在不断地尝试用 root 登录：Failed password for root from 222.186.56.168 port 4080 ssh2 - 查看最近登录成功的账号信息：
grep "Accepted" /var/log/secure，可以看到：pop3, ssh, telnet, ftp 类型 - 看下查看系统资源占用有无异常：
top - 看下所有进程：
ps aux - 查看当前系统登录者有哪些，及其登录记录：
last | more - 把最近执行的所有命令输出到一个文件，然后下载下来细细研究：
history >> /opt/test.txt - 查看当前系统所有用户有哪些：
cat /etc/passwd |awk -F \: '{print $1}'更多详细可以用：cat /etc/passwd
3.查看相关启动服务,端口
- 查看开放的端口，比如常用的80,22,8009，后面的箭头表示端口对应占用的程序：
netstat -lnp - 检查某个端口的具体信息：
lsof -i :18954 - 检查启动项：
chkconfig - 检查定时器：
cat /etc/crontab - 检查其他系统重要文件：
cat /etc/rc.localcd /etc/init.d;ll
- 检查文件：
find / -uid 0 –perm -4000 –printfind / -size +10000k –printfind / -name "…" –printfind / -name ".. " –printfind / -name ". " –printfind / -name " " –print
4.流量分析
- 下载 iftop 分析流量，查看是否被黑客当做肉鸡使用
- 安装 iftop
- 官网：http://www.ex-parrot.com/~pdw/iftop/
- 使用文章：https://linux.cn/article-1843-1.html
- 没有安装第三方源的情况：
- 安装依赖包：
yum install -y flex byacc libpcap ncurses ncurses-devel libpcap-devel - 下载源码包：
wget http://www.ex-parrot.com/pdw/iftop/download/iftop-0.17.tar.gz - 解压：
tar zxf iftop-0.17.tar.gz - 进入解压目录：
cd iftop-0.17/ - 编译：
./configure - 安装：
make && make install
- 安装依赖包：
- 有第三方源的情况（eg：EPEL）：
yum install -y iftop
- 运行：
iftop显示端口与 IP 信息：iftop -nP
1 | 中间部分：外部连接列表，即记录了哪些ip正在和本机的网络连接 |
5.登录限制
- 禁用 root 账号登录：
vim /etc/ssh/sshd_config把 PermitRootLogin 属性 yes 改为 no - 如果安全度要更高，可以考虑禁用口令登录，采用私钥/公钥方式：
vim /etc/ssh/sshd_config设置属性：PasswordAuthentication 为 no - 如果还要限制指定 IP 登录，可以考虑编辑：hosts.allow 和 hosts.deny 两个文件