Servidor Linux cómo nivelar el ataque de virus hacker

Actualmente, muchos usuarios utilizan servidores Linux, pero el entorno de red actual no es muy tranquilo y siempre hay ataques maliciosos. Por lo general, algunos amigos se encontrarán con el problema de la piratería del servidor. Después de recopilar y clasificar los materiales relacionados pertinentes, he encontrado una solución para la piratería del servidor de Linux aquí. Espero que tenga muchas ganancias después de verlo.

Si tiene todos los parches correctos instalados, tiene un firewall probado y tiene sistemas avanzados de detección de intrusos activados en múltiples niveles, entonces en solo un caso será hackeado, es decir Eres demasiado perezoso para hacer lo que debes hacer, por ejemplo, para instalar el último parche para BIND.

Es realmente vergonzoso estar aturdido. Es más serio que algunos scripts descarguen algunos "rootkits" conocidos o herramientas de espionaje populares, que ocupan tu CPU y tu memoria. , datos y ancho de banda. ¿Dónde empezaron estos chicos malos desde allí? Esto comienza con el rootkit.

Un rootkit es en realidad un paquete que los piratas informáticos utilizan para proporcionarse a sí mismos con acceso de nivel raíz a su máquina. Una vez que el hacker puede acceder a su máquina como root, todo está listo. Lo único que puede hacer es hacer una copia de seguridad de sus datos con la eficiencia más rápida, limpiar el disco duro y reinstalar el sistema operativo. En cualquier caso, una vez que alguien recauda su máquina, la recuperación no es una tarea fácil.

¿Puedes confiar en tu comando ps?

El primer truco para encontrar un rootkit en un servidor Linux es ejecutar el comando ps. Puede ser normal que veas todo. La pregunta real es: "¿Todo es realmente normal?" Un truco que los hackers suelen usar es reemplazar el comando ps, y el ps en este reemplazo no mostrará los programas ilegales que se ejecutan en su máquina. Para realizar la prueba, debe verificar el tamaño de su archivo ps, que generalmente se encuentra en /bin /ps. Tiene alrededor de 60kB en nuestra máquina Linux. Recientemente encontré un programa ps que fue reemplazado por un rootkit. Esta cosa solo tiene un tamaño de unos 12kB.

Otra estafa obvia es vincular el archivo de historial de comandos raíz a /dev /null. Este archivo de historial de comandos se usa para rastrear y registrar los comandos utilizados por un usuario después de iniciar sesión en una máquina Linux. El propósito de los hackers que redirigen sus archivos de historial a /dev /null es que no puede ver los comandos que han ingresado.

Puede acceder a su archivo de historial escribiendo historial en el indicador del shell. Si se encuentra usando el comando de historial y no aparece en la lista de comandos que ha usado anteriormente, debe revisar su archivo ~ /.bash_history. Si el archivo está vacío, ejecute un comando ls-l ~ /.bash_history. Después de ejecutar el comando anterior, verá una salida similar a la siguiente:

-rw ------- 1 jd jd 13829 10 de octubre 17:06 /home/jd/.bash_history

O, puede ver una salida similar a la siguiente: lrwxrwxrwx 1 jd jd 9 oct 1019: 40 /home /jd /.bash_history -> /dev /null

Si ve El segundo muestra esto. El archivo bash_history ha sido redirigido a /dev /null. Este es un mensaje fatal, desconecte inmediatamente su máquina de Internet, haga una copia de seguridad de sus datos todo lo posible y comience a reinstalar el sistema.

Para resolver el problema de la piratería de servidores Linux, debe encontrar cuentas de usuario desconocidas:

Cuando vaya a realizar una prueba en su máquina Linux, es aconsejable verificar primero si hay una cuenta de usuario desconocida. . La próxima vez que inicie sesión en su servidor Linux, escriba el siguiente comando:

grep: x: 0: /etc /passwd

Solo hay una línea, lo enfatizaré nuevamente, en un estándar En la instalación de Linux, el comando grep solo debe devolver una línea, similar a la siguiente:

root: x: 0: 0: root: /root: /bin /bash

Si escribió antes Después del comando grep, su sistema devuelve más de una línea, lo que puede ser un problema. Solo debe haber un usuario cuyo UID sea 0, y si el comando grep devuelve más de una línea, significa más de un usuario. En serio, aunque estos son algunos buenos métodos básicos para descubrir el comportamiento de piratería. Pero estas técnicas por sí solas no constituyen una seguridad suficiente, y su profundidad y amplitud son mucho peores que los sistemas de detección de intrusos mencionados en el artículo.

Lo anterior es un pequeño punto de conocimiento sobre la solución al servidor Linux pirateado.