檢測Linux系統是否被黑的技巧

俗稱(chēng)“腳本小鬼”的家伙 是屬于那種很糟糕的黑客，因為基本上他們中的許多和大多數人都是如此的沒(méi)有技巧?？梢赃@樣說(shuō)，如果你安裝了所有正確的補丁，擁有經(jīng)過(guò)測試的防火墻，并且在多個(gè)級別都激活了先進(jìn)的入侵檢測系統，那么只有在一種情況下你才會(huì )被黑，那就是，你太懶了以至沒(méi)去做該做的事情，例如，安裝BIND的最新補丁。

一不留神而被黑確實(shí)讓人感到為難，更嚴重的是某些腳本小鬼還會(huì )下載一些眾所周知的“root kits”或者流行的刺探工具，這些都占用了你的CPU，存儲器，數據和帶寬。這些壞人是從那里開(kāi)始著(zhù)手的呢？這就要從root kit開(kāi)始說(shuō)起。

一個(gè)root kit其實(shí)就是一個(gè)軟件包，黑客利用它來(lái)提供給自己對你的機器具有root級別的訪(fǎng)問(wèn)權限。一旦這個(gè)黑客能夠以root的身份訪(fǎng)問(wèn)你的機器，一切都完了。 唯一可以做就是用最快的效率備份你的數據，清理硬盤(pán)，然后重新安裝操作系統。無(wú)論如何，一旦你的機器被某人接管了要想恢復并不是一件輕而易舉的事情。

你能信任你的ps命令嗎？

找出root kit的首個(gè)竅門(mén)是運行ps命令。有可能對你來(lái)說(shuō)一切都看來(lái)很正常。圖示是一個(gè)ps命令輸出的例子。真正的問(wèn)題是，“真的一切都正常嗎？”黑客常用的一個(gè) 詭計就是把ps命令替換掉，而這個(gè)替換上的ps將不會(huì )顯示那些正在你的機器上運行的非法程序。為了測試個(gè)，應該檢查你的ps文件的大小，它通常位于 /bin/ps.在我們的Linux機器里它大概有60kB.我最近遇到一個(gè)被root kit替換的ps程序，這個(gè)東西只有大約12kB的大小。

另一個(gè)明顯的騙局是把root的命令歷史記錄文件鏈接到/dev/null.這個(gè)命令歷史記錄文件是用來(lái)跟蹤和記錄一個(gè)用戶(hù)在登錄上一臺Linux機器后所用過(guò)的命令的。黑客們把你的歷史紀錄文件重定向到/dev/null的目的在于使你不能看到他們曾經(jīng)輸入過(guò)的命令。

你可以通過(guò)在shell提示符下敲入history來(lái)訪(fǎng)問(wèn)你的歷史記錄文件。假如你發(fā)現自己 正在使用history命令，而它并沒(méi)有出現在之前使用過(guò)的命令列表里，你要看一看你的~/.bash_history 文件。假如這個(gè)文件是空的，就執行一個(gè)ls -l ~/.bash_history命令。在你執行了上述的命令后你將看到類(lèi)似以下的輸出：

-rw—— 1 jd jd 13829 Oct 10 17：06 /home/jd/.bash_history

又或者，你可能會(huì )看到類(lèi)似以下的輸出：

lrwxrwxrwx 1 jd jd 9 Oct 10 19：40 /home/jd/.bash_history -> /dev/null

假如你看到的是第二種，就表明這個(gè) .bash_history 文件已經(jīng)被重定向到/dev/null.這是一個(gè)致命的信息，現在就立即把你的機器從Internet上斷掉，盡可能備份你的數據，并且開(kāi)始重新安裝系統。

尋找未知的用戶(hù)賬號

在你打算對你的Linux機器做一次檢測的時(shí)候，首先檢查是否有未知的用戶(hù)賬號無(wú)疑是明智的。在下一次你登錄到你的Linux機器時(shí)，敲入以下的命令：

grep ：x：0： /etc/passwd

只有一行，我再強調一遍，在一個(gè)標準的Linux安裝里，grep命令應該只返回一行，類(lèi)似以下：

root：x：0：0：root：/root：/bin/bash

假如在敲入之前的grep命令后你的系統返回的結果不止一行，那可能就有問(wèn)題了。應該只有一個(gè)用戶(hù)的UID為0，而如果grep命令的返回結果超過(guò)一行，那就表示不止一個(gè)用戶(hù)。

認真來(lái)說(shuō)，雖然對于發(fā)現黑客行為，以上都是一些很好的基本方法。但這些技巧本身并不能構成足夠的安全性，而且其深度和廣度和在文章頭提到的入侵檢測系統比起來(lái)也差得遠。