锐客网

  1. 首页 > 生活百科 > it技术 > >

linux命令替换后门 linux替换m

IT技术替换

如何查找Linux服务器上的webShell后门1、检查系统密码文件
首先从明显的入手linux命令替换后门，查看一下passwd文件 ， ls –l /etc/passwd查看文件修改的日期 。
awk –F: ‘length($2)==0 {print $1}’ /etc/shadow
2、查看一下进程，看看有没有奇怪的进程
重点查看进程linux命令替换后门：ps –aef | grep inetd
inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程，着重看inetd –s后面的内容 。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件linux命令替换后门；而solaris系统中也仅仅是inetd –s ， 同样没有用inetd去启动某个特定的文件；如果你使用ps命令看到inetd启动了某个文件 ， 而你自己又没有用inetd启动这个文件，那就说明已经有人入侵了你的系统，并且以root权限起了一个简单的后门 。
输入ps –aef 查看输出信息，尤其注意有没有以./xxx开头的进程 。一旦发现异样的进程 ， 经检查为入侵者留下的后门程序，立即运行kill –9 pid 开杀死该进程，然后再运行ps –aef查看该进程是否被杀死；一旦此类进程出现杀死以后又重新启动的现象 ， 则证明系统被人放置了自动启动程序的脚本 。这个时候要进行仔细查找：find / -name 程序名 –print，假设系统真的被入侵者放置了后门，根据找到的程序所在的目录 ， 会找到很多有趣的东东，
接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪 。
3、检查系统守护进程
检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep –v “^#”，输出的信息就是你这台机器所开启的远程服务 。
一般入侵者可以通过直接替换in.xxx程序来创建一个后门 ， 比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell 。
4、检查网络连接和监听端口
输入netstat -an ， 列出本机所有的连接和监听的端口，查看有没有非法连接 。
输入netstat –rn，查看本机的路由、网关设置是否正确 。
输入 ifconfig –a，查看网卡设置 。
5、检查系统日志
命令last | more查看在正常情况下登录到本机的所有用户的历史记录 。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标 。入侵者通常会停止系统的syslog ， 查看系统syslog进程的情况，判断syslog上次启动的时间是否正常 ， 因为syslog是以root身份执行的，如果发现syslog被非法动过 ， 那说明有重大的入侵事件 。
在linux下输入ls –al /var/log
检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法 。
6、检查系统中的core文件
通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式 。这种方式有一定的成功率，也就是说它并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core –exec ls –l {} \; 依据core所在的目录、查询core文件来判断是否有入侵行为 。
7、检查系统文件完整性
检查文件的完整性有多种方法，通常linux命令替换后门我们通过输入ls –l 文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性 。但是如果ls文件都已经被替换了就比较麻烦 。在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，查询的结果是否正常来判断文件是否完整 。
linux sed命令替换特定字符之后的字符1、首先进入到Linux系统，分别创建两个目录vim1、vim2 。
2、分别在vim1、vim2文件夹下创建两个测试文件file1.c、file2.c 。
3、然后在file1.c中添加，如下内容 。
4、在file2.c中添加如下内容，接下来将要批量将这两个文件中的len替换为size 。
5、然后执行如下sed -i "s/len/size/g" `grep len -rl ./` 。
6、执行上述命令后，分别再次打开上面新建立的两个文件，可以看到len已经被批量替换为了size 。
linux命令行替换文件内容通过你的描述linux命令替换后门，替换命令如下linux命令替换后门：
1、tr 命令来进行替换
[root@localhost ss1]# tr '111' '2222222'aa.txt
2、sed 命令
[root@localhost ss1]# sed ‘s/wyf/wzw/g’ ./person.txt
这里使用sed 内置命令s 来实现替换功能linux命令替换后门，并且使用了全局替换标志g 表示替换文件中匹配wyf的所有字符串 。
温馨提示：
1、tr 命令在接文件时比较特殊linux命令替换后门，需要输入重定向符号 “”
2、凡是在文本中出现的“111”均应转换成“222222”，而不是仅仅将单个进行转换，这个要注意 。
3、在使用sed 命令时 ， 要注意一下语法格式，将要替换的文本“wyf”放在第一个和第二个“/” 之间，将替换后的文本“wzw”放到第二个和第三个“/” 之间 。这个要注意 。
以上就是我的回答，在具体操作时，可能会有出入 ， 如有问题可私信关注 ， 我会第一时间来进行回复追答，希望我的回答能帮到你 。
【linux命令替换后门 linux替换m】linux命令替换后门的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于linux替换m、linux命令替换后门的信息别忘了在本站进行查找喔 。

    推荐阅读


    上一篇：c语言string建立字符串，c语言string定义字符串

    下一篇：免费的漫画软件下载，免费漫画软件下载安装免广告