Pwn2Own之后談?wù)凩inux被黑解決方法

    在剛剛結(jié)束的Pwn2Own大會(huì)上，幾乎所有的系統(tǒng)都遭遇到了黑客們的“嘲笑”，對(duì)比大賽前眾家拼命的縫縫補(bǔ)補(bǔ)，黑客們用行動(dòng)證明了廠(chǎng)商們做的“無(wú)用功”。

    不過(guò)黑客歸黑客，平時(shí)Linux相對(duì)還算是安全的系統(tǒng)，當(dāng)然也會(huì)有很多朋友遇見(jiàn)服務(wù)器被黑的問(wèn)題，這里經(jīng)過(guò)搜集和整理相關(guān)的相關(guān)的材料，在這里本人給大家找到了Linux服務(wù)器被黑的解決方法，希望大家看后會(huì)有不少收獲。

    如果你安裝了所有正確的補(bǔ)丁，擁有經(jīng)過(guò)測(cè)試的防火墻，并且在多個(gè)級(jí)別都激活了先進(jìn)的入侵檢測(cè)系統(tǒng)，那么只有在一種情況下你才會(huì)被黑，那就是，你太懶了以至沒(méi)去做該做的事情，例如，安裝BIND的最新補(bǔ)丁。

    一不留神而被黑確實(shí)讓人感到為難，更嚴(yán)重的是某些腳本小鬼還會(huì)下載一些眾所周知的“rootkits”或者流行的刺探工具，這些都占用了你的CPU，存儲(chǔ)器，數(shù)據(jù)和帶寬。這些壞人是從那里開(kāi)始著手的呢？這就要從rootkit開(kāi)始說(shuō)起。

    一個(gè)rootkit其實(shí)就是一個(gè)軟件包，黑客利用它來(lái)提供給自己對(duì)你的機(jī)器具有root級(jí)別的訪(fǎng)問(wèn)權(quán)限。一旦這個(gè)黑客能夠以 root的身份訪(fǎng)問(wèn)你的機(jī)器，一切都完了。唯一可以做就是用最快的效率備份你的數(shù)據(jù)，清理硬盤(pán)，然后重新安裝操作系統(tǒng)。無(wú)論如何，一旦你的機(jī)器被某人接管了要想恢復(fù)并不是一件輕而易舉的事情。

    你能信任你的ps命令嗎？

    找出rootkit的首個(gè)竅門(mén)是運(yùn)行ps命令。有可能對(duì)你來(lái)說(shuō)一切都看來(lái)很正常。圖示是一個(gè)ps命令輸出的例子。真正的問(wèn)題是，“真的一切都正常嗎？”黑客常用的一個(gè)詭計(jì)就是把ps命令替換掉，而這個(gè)替換上的ps將不會(huì)顯示那些正在你的機(jī)器上運(yùn)行的非法程序。為了測(cè)試個(gè)，應(yīng)該檢查你的ps文件的大小，它通常位于/bin/ps。在我們的Linux 機(jī)器里它大概有60kB。我最近遇到一個(gè)被rootkit替換的ps程序，這個(gè)東西只有大約12kB的大小。

    另一個(gè)明顯的騙局是把 root的命令歷史記錄文件鏈接到/dev/null。這個(gè)命令歷史記錄文件是用來(lái)跟蹤和記錄一個(gè)用戶(hù)在登錄上一臺(tái)Linux機(jī)器后所用過(guò)的命令的。黑客們把你的歷史紀(jì)錄文件重定向到/dev/null的目的在于使你不能看到他們?cè)��?jīng)輸入過(guò)的命令�！　∧憧梢酝ㄟ^(guò)在shell提示符下敲入history來(lái)訪(fǎng)問(wèn)你的歷史記錄文件。假如你發(fā)現(xiàn)自己正在使用history命令，而它并沒(méi)有出現(xiàn)在之前使用過(guò)的命令列表里，你要看一看你的~/.bash_history文件。假如這個(gè)文件是空的，就執(zhí)行一個(gè)ls-l~/.bash_history命令。在你執(zhí)行了上述的命令后你將看到類(lèi)似以下的輸出：

    -rw------- 1 jd jd 13829 Oct 10 17：06 /home/jd /.bash_history

    又或者，你可能會(huì)看到類(lèi)似以下的輸出：lrwxrwxrwx 1 jd jd 9 Oct 1019：40/home/jd/.bash_history -> /dev /null

    假如你看到的是第二種，就表明這個(gè)。bash_history文件已經(jīng)被重定向到/dev/null。這是一個(gè)致命的信息，現(xiàn)在就立即把你的機(jī)器從Internet上斷掉，盡可能備份你的數(shù)據(jù)，并且開(kāi)始重新安裝系統(tǒng)。

    解決Linux服務(wù)器被黑，需要尋找未知的用戶(hù)賬號(hào)：

    在你打算對(duì)你的Linux機(jī)器做一次檢測(cè)的時(shí)候，首先檢查是否有未知的用戶(hù)賬號(hào)無(wú)疑是明智的。在下一次你登錄到你的Linux服務(wù)器時(shí)，敲入以下的命令：

    grep ：x：0： /etc/passwd

    只有一行，我再?gòu)?qiáng)調(diào)一遍，在一個(gè)標(biāo)準(zhǔn)的Linux安裝里，grep命令應(yīng)該只返回一行，類(lèi)似以下：

    root：x：0：0：root：/root：/bin/bash

    假如在敲入之前的grep命令后你的系統(tǒng)返回的結(jié)果不止一行，那可能就有問(wèn)題了。應(yīng)該只有一個(gè)用戶(hù)的UID為0，而如果grep命令的返回結(jié)果超過(guò)一行，那就表示不止一個(gè)用戶(hù)。認(rèn)真來(lái)說(shuō)，雖然對(duì)于發(fā)現(xiàn)黑客行為，以上都是一些很好的基本方法。但這些技巧本身并不能構(gòu)成足夠的安全性，而且其深度和廣度和在文章頭提到的入侵檢測(cè)系統(tǒng)比起來(lái)也差得遠(yuǎn)。

    以上給大家講解的是一個(gè)小的知識(shí)點(diǎn)，關(guān)于linux服務(wù)器被黑的解決方法。相信排除一些實(shí)際性質(zhì)的“經(jīng)濟(jì)”行為，眾多黑客中的精英們也不會(huì)沒(méi)事去光顧一番我們的服務(wù)器吧。

億恩科技地址(ADD)：鄭州市黃河路129號(hào)天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯(lián)系：億恩小凡
   QQ：89317007
   電話(huà):0371-63322206

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]