Linux安全检测工具--运行即可抓到多数僵尸程序

摘要

随着网络攻击的日益猖獗，Linux 系统的安全性面临着严峻的挑战。为了及时发现和防范安全威胁，许多 Linux 安全检测工具应运而生。本文将详细介绍作者开发的 Linux 安全检测工具的功能，包括进程分析、网络分析、日志分析、文件分析、利用现有检测工具、容器分析、数据库分析、环境变量分析、启动脚本分析、启动服务分析、账号密码配置分析、账号权限配置分析、预加载库/动态链接器/动态链接库分析、内核模块分析、敏感目录下异常文件分析等，帮助用户更好地了解和选择合适的 Linux 安全检测工具。

1. 进程分析

进程分析是 Linux 安全检测工具的核心功能之一，主要用于检测系统中是否存在可疑或恶意的进程。主要分析方法包括：

• 高 CPU/MEM 占用检测: 检测系统中 CPU 或内存占用率异常的进程，这些进程可能存在性能问题或被恶意软件利用。
• 伪装内核进程检测: 检测系统中伪装成内核进程的可疑进程，这些进程可能试图隐藏其真实身份。
• 隐藏路径进程检测: 检测系统中启动路径包含隐藏字符（如点号）的可疑进程，这些进程可能试图隐藏其启动位置。
• 随机进程名检测: 检测系统中进程名包含随机字符串的可疑进程，这些进程可能试图隐藏其真实目的。
• 带特征字符串进程检测: 检测系统中进程名或启动参数包含特定特征字符串（如 “scan”、“payload” 等）的可疑进程，这些进程可能涉及恶意行为。
• 带恶意域名进程检测: 检测系统中进程连接到已知恶意域名或 IP 地址的可疑进程，这些进程可能试图与远程服务器通信或下载恶意软件。
• 带可疑路径进程检测: 检测系统中进程启动路径包含特定可疑目录（如 “/tmp”、" /var/tmp/" 等）的可疑进程，这些进程可能试图在系统临时目录中执行恶意操作。
• 带删除标识进程检测: 检测系统中进程关联的文件已被删除但进程仍在运行的异常情况，这可能是恶意软件为了隐藏自身而采取的手段。
• memfd 无文件进程检测: 检测系统中使用 memfd 文件系统创建的无文件进程，这些进程可能试图隐藏其代码和数据。
• 隐藏进程检测: 检测系统中在 /proc 目录下找不到对应进程信息的隐藏进程，这些进程可能使用 Rootkit 等恶意软件进行隐藏。
• 异常启动用户检测: 检测系统中由非正常用户（如 “postgres”、“portalnav” 等）启动的可疑进程，这些进程可能被用于执行恶意操作。
• 提权进程检测: 检测系统中以 root 权限运行的进程，这些进程可能存在安全隐患或被恶意软件利用。
• 异常 shell 执行进程检测: 检测系统中使用非标准 shell（如 tcsh）执行的可疑进程，这些进程可能试图绕过安全限制。
• 进程名伪造检测: 检测系统中进程名与实际执行程序不匹配的进程，这些进程可能被用于隐藏其真实目的。
• 审计追踪异常行为检测: 通过审计系统调用来检测进程的异常行为，例如非法访问文件、创建隐藏进程等。

• function check_process() {
      echo "C