查询空口令的用户
awk -F: ‘length($2)==0 {print $1}’ /etc/passwd
排查用户登录相关
查看错误的登录信息，这个虚拟机是刚刚安装的没有内容
lastb
最后登录信息
lastlog
最近的登录日日志
last
who当前登录状态
进程和网络排查
上面的查询进程top和ps -ef
排查网络连接状态
查询网络连接状态
netstat
常用命令
netstat -anptu
详细命令
netstat –help
简单案例分析
本机启动一个python的httpserver，假设是攻击者的外联，外联状态一般为（establish）
python -m SimpleHTTPServer
lsof -p PID 查询详细进程信息
lsof -p 13122
如果有恶意程序的话直接
Kill -9 PID(进程号)
这样就可以直接关闭进程
查看进程详细信息，发现没有在监听8000端口了，也没有python进程了。
敏感文件排查
常见的敏感文件路径有/tmp下、~/.ssh、、/etc/ssh还有web根路径和web上传路径等等。
find命令查找可疑文件
常用命令find命令
常用参数
find -type f/l/d 查找文件类型、链接类型、类型
根据修改，访问，创建时间来查询文件
-mtime -n +n 修改文件的时间范围 -n 为几天内， +n 指的是几天前。
-atime -n +n 文件访问时间范围 -n 为几天内， +n 指的是几天前。
-ctime -n +n 创建文件时间范围 -n 为几天内， +n 指的是几天前。
案例：
查询最近10分钟内修改的sh文件
find / -mmin -10 -type f -name "\*.sh" 2>/dev/null
列出说有文件并按时间排序
ls -alt
stat #文件名可以查看文件详细修改创建访问时间
查询uid权限文件（uid权限文件可用于，权限提升）
find / -type f -perm -04000 2>/dev/null
find / -type f -perm -04000 -ls -uid 0 2>/dev/null
还可以ls -alh查询文件，如果是最近被修改的或者文件大小异常结合日志判断很有可能是木马（我这里没有，展示命令）
ls -alh /bin
日志排查
常见日志目录
Linux下常见的日志，linux的日志一般存放在”/var/log” 目录下
常见的日志
/var/log/cron 计划任务日志
/var/log/wtmp 登录日志，也就是last
/var/log/message 系统启动的错误日志
/var/log/lastlog 记录登录的用户日志，也就是lastlog命令
/var/log/secure 记录输入账号密码登录的日志
/var/log/faillog 记录登录失败的日志
常见的其他服务日志
/var/spool/mail 邮件日志
网站日志
Tomcat日志
在tomcat安装目录下的/log
Nginx日志
/var/log/nginx/access.log
Apache日志
/var/log/httpd/access.log
/var/log/apache/ access.log
/var/log/apache2/ access.log
/var/log/httpd-access.log
数据库日志
Mysql默认路径在
/var/log/mysql/
如果没在可以使用 show variables like ‘genneral’ 命令查找日志路径
Oracle数据默认路径子啊
$ORACLE/rdbms/log 目录下
除了cat查看日志外还可以使用tail 、head、awk和grep等命令进行查找和检索。
流量分析
tcpdump抓去网络流量
使用tcpdump命令进行抓包
我的这里的网卡名称为：ens33
案例抓取ens33 网卡所有的流量保存到 test.cap 文件中
tcpdump -i ens33 -w test.cap
后面可以使用wireshark和科来对数据包进行流量分析。
参考上一篇文章：windows应急响应基础
https://blog.csdn.net/qq_41690468/article/details/135045207
恶意文件、病毒
webshell查杀
D盾_webshell查杀
http://www.d99net.net/
百度WEBDIR+在线查杀
https://scanner.baidu.com/
河马
https://www.shellpub.com/
Web Shell Detector
官方网站：http://www.shelldetector.com/
github项目地址：https://github.com/emposha/PHP-Shell-Detector
长亭牧云CloudWalker
在线查杀demo：https://webshellchop.chaitin.cn/
github项目地址：https://github.com/chaitin/cloudwalker
深度学习模型检测PHP Webshell
http://webshell.cdxy.me/
PHP Malware Finder
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。
深知大多数Linux运维工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！
因此收集整理了一份《2024年Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Linux运维知识点，真正体系化！
由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加VX：vip1024b （备注Linux运维获取）
最后的话
最近很多小伙伴找我要Linux学习资料，于是我翻箱倒柜，整理了一些优质资源，涵盖视频、电子书、PPT等共享给大家！
资料预览
给大家整理的视频资料：
给大家整理的电子书资料：
如果本文对你有帮助，欢迎点赞、收藏、转发给朋友，让我有持续创作的动力！
一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
最后的话
最近很多小伙伴找我要Linux学习资料，于是我翻箱倒柜，整理了一些优质资源，涵盖视频、电子书、PPT等共享给大家！
资料预览
给大家整理的视频资料：
[外链图片转存中…(img-YkcejdKd-1712846208037)]
给大家整理的电子书资料：
[外链图片转存中…(img-7xqnYKE3-1712846208037)]
如果本文对你有帮助，欢迎点赞、收藏、转发给朋友，让我有持续创作的动力！
一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-xcIraYjp-1712846208038)]
