Linux常见系统后门排查命令

1、检查异常账号——cat /etc/passwd

    通过检查/etc/passwd，查看有没有可疑的系统用户，这个文件是以冒号:进行分割字段，一般我们只要注意第三个字段即可，第三个字段是用户ID，也就是UID，数字0代表超级用户的UID，即这个账号是管理员账号。一般Linux只会配置一个root账号为系统管理员，当出现其他账号是系统管理员的时候，就要注意了，很可能是黑客建立的账号。

2、检查异常登陆

who 查看当前登录用户（tty本地登陆 pts远程登录）
w 查看系统信息，想知道某一时刻用户的行为
last 列出所有用户登陆信息
lastb 列出所有用户登陆失败的信息
lastlog 列出所有用户最近一次登录信息
3、网络连接——netstat -pantl

    通过查看网络连接，检查是否存在对外的恶意连接，这些恶意连接是哪个进程产生的，就可以判断出服务器是否被黑客入侵。

4、查看进程——ps -ef | more

    查看进程信息，进程运行参数太长或存在不可见字符时，需加 more命令 或把ps命令的结果输出到文件查看。

    查看系统进程可以有效的发现是否存在黑客运行的恶意程序。这里要注意一点，PID是进程运行的ID号，PPID是父进程号，也就是启动这个进程的程序是谁，不过我们一般只要注意PID就可以了。很多时候服务器运行的进程较多，而且当进程的参数出现不可见字符的时候，我们只用ps -ef很可能会忽略掉一些进程的启动信息，所以建议大家使用ps -ef查看进程时加一个more命令，这样就能有效的避免我刚才说到的情况。



    很多时候黑客运行的程序会做很多伪装，比如我们通过ps命令查看到一个进程名是abc，但是如果黑客经过伪装的话，启动这个程序的文件名就可能不是abc了，是其他的命令，所以我们就要通过在/proc这个内存目录来查看具体是哪个程序启动的这个进程，同样的，使用lsof -p命令我们一样能达到同样的效果

ls -la /proc//exe 或

lsof -p
5、计划任务

crontab -l 列出计划任务列表
crontab -e 编辑计划任务，当计划任务出现不可见字符时，需要此命令才能看到具体信息
ls -la /var/spool/cron/ 查看计划任务文件
more /etc/crontab 查看计划任务
计划任务也是黑客经常会使用到的一个功能，通过查看计划任务，可以发现黑客是否在系统中添加了定期执行的恶意脚本或程序。如果发现某个计划任务是定期运行一个python脚本，但我们不知道这个python脚本是不是恶意的，这时就需要我们去查看python脚本的内容来确定它是不是一个恶意脚本了。

6、系统启动项

more /etc/rc.local
ls -l /etc/rc.d/rc<0~6>.d 优先查看/etc/rc.d/rc3.d的内容
more /etc/ld.so.preload ld.so.preload是linux动态链接库，linux正常程序运行过程中，动态链接器会读取LD_PRELOAD环境变量的值和默认配置文件/etc/ld.so.preload的文件内容，并将读取到的动态链接库进行预加载，即使程序不依赖这些动态链接库。
查看系统启动项也是一个有效发现黑客攻击的方法，一般来说我们只需要查看上述的这几个文件就行。

7、系统日志

/var/log/secure SSH登陆日志、su切换用户日志，只要涉及账号和密码的程序都会记录
/var/log/message 记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，但因为记录的信息太杂，一般不查看。
/var/log/cron 计划任务日志
/var/log/wtmp 记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。这个文件是二进制文件，需要使用last命令来查看
通过查看系统日志，能发现黑客究竟做了一些什么事情，不过一般我们只查看secure日志即可，这个日志能有效的发现黑客有没有通过暴力破解的方法攻破过服务器，查看日志的方式也很简单，使用cat、more、grep等命令查看即可。

8、Rootkit查杀

chkrootkit
rkhunter
如果遇到更顽强的系统木马，比如Rootkit这类型的后门，我们就要使用一些专门的Rootkit查杀工具了，直接运行就可以开始查杀。