快速找出Linux服务器上不该存在恶意或后门文件_文件路径 root linux386 恶意文件md5 18f960a5ed2cd274edf268(1)

最新推荐文章于 2024-09-04 14:14:01 发布

2401_83739727

最新推荐文章于 2024-09-04 14:14:01 发布

阅读量501

点赞数 3

分类专栏：程序员文章标签：服务器 linux 运维

本文链接：https://blog.youkuaiyun.com/2401_83739727/article/details/138313346

版权

本文介绍了如何通过find命令检查包文件的完整性，包括使用rpm-V和dpkg-V验证二进制文件，以及检测RAW套接字、内存注入和PAM模块潜在的恶意行为。提供了一种系统化的方法来进行Linux系统安全审计。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

find /proc/\*/exe -exec readlink {} + | xargs rpm -qf | xargs rpm -V

find /proc/\*/exe -exec readlink {} + | xargs dpkg -S | cut -d: -f1 | xargs dpkg -V

在这里插入图片描述

校验所有包文件

另一件需要检查确认的事是即所有属于包的二进制文件都没有被修改。这个过程可能需要一段时间才能完成，但这是值得。我们可以设置一个cron jobs，以在指定时间来运行它。

校验所有包文件

rpm -Va

dpkg -V

在这里插入图片描述
输出结果

输出应该显示属于包的任何二进制文件，计算二进制文件的哈希值，并将其与包安装或更新时保存的值进行比较。以下是基于Redhat系统的输出。使用dpkg的Debian系统不校验其中的大部分，因此如果修改了二进制文件，只显示“5”。

S 文件大小不同

M 模式不同(包括权限和文件类型)

5 摘要(以前的MD5 sum)不同

D 设备主/次要号不匹配

L readLink(2)路径不匹配

U 用户所有权不同

G 组的所有权不同

T mTime不同

P caPabilities不同

检查RAW套接字

我们经常能

最低0.47元/天解锁文章