应急响应-消灭挖矿木马

# 允许维护人员的ip访问
iptables -I INPUT -s xx.xxx.xx.xx -p tcp -j ACCEPT 
# 禁止流量进来
iptables -A INPUT -p tcp -j DROP
# 禁止流量出去
iptables -A OUTPUT -p tcp -j DROP
#清除规则
iptables -F

rpm -Vf /usr/bin/*
rpm -Vf /usr/sbin/*
#rpm -Vf /usr/bin/xxx
#S 关键字代表文件大小发生了变化
#5 关键字代表文件的 md5 值发生了变化
#T 代表文件时间发生了变化

if ! pgrep -x "king" > /dev/null
then
  chmod +x /etc/rc.local &> /dev/null
  grep king /etc/rc.local > /dev/null || echo "nohup /var/lib/king &" >> /etc/rc.local
  grep king /etc/cron.hourly/nginx > /dev/null || echo "nohup /var/lib/k
  g &" >> /etc/cron.hourly/nginx
  grep king /etc/cron.daily/nginx > /dev/null || echo "nohup /var/lib/king &" >> /etc/cron.daily/nginx
  grep king /var/spool/cron/root > /dev/null || echo "* * * * * nohup /var/lib/king &" >> /var/spool/cron/root
  cp -arf /var/yp/king.sh /var/lib/king &> /dev/null
fi

if ! pgrep -x "king" > /dev/null：

检查是否有名为“king”的进程在运行。如果没有找到“king”进程，条件为真，执行then部分的代码。
chmod +x /etc/rc.local &> /dev/null：

赋予/etc/rc.local可执行权限，并将所有输出（包括错误输出）重定向到/dev/null。
grep king /etc/rc.local > /dev/null || echo "nohup /var/lib/king &" >> /etc/rc.local：

检查/etc/rc.local中是否包含“king”。
如果不包含，则将nohup /var/lib/king &添加到/etc/rc.local中。
grep king /etc/cron.hourly/nginx > /dev/null || echo "nohup /var/lib/king &" >> /etc/cron.hourly/nginx：

检查/etc/cron.hourly/nginx中是否包含“king”。
如果不包含，则将nohup /var/lib/king &添加到/etc/cron.hourly/nginx中。
grep king /etc/cron.daily/nginx > /dev/null || echo "nohup /var/lib/king &" >> /etc/cron.daily/nginx：

检查/etc/cron.daily/nginx中是否包含“king”。
如果不包含，则将nohup /var/lib/king &添加到/etc/cron.daily/nginx中。
grep king /var/spool/cron/root > /dev/null || echo "* * * * * nohup /var/lib/king &" >> /var/spool/cron/root：

检查/var/spool/cron/root中是否包含“king”。
如果不包含，则将* * * * * nohup /var/lib/king &添加到/var/spool/cron/root中，设置一个每分钟运行一次的crontab任务。
cp -arf /var/yp/king.sh /var/lib/king &> /dev/null：

复制/var/yp/king.sh到/var/lib/king，并将所有输出（包括错误输出）重定向到/dev/null。

#!/bin/bash

# 定义检查和启动函数
check_and_start_service() {
  if ! systemctl is-active --quiet watchdog; then
    /var/.X11CE/jksdq2 -ai /etc/.init/watchdog
    cp -arf /var/.X11CE/jksdq1 /etc/.init/watchdog
    /var/.X11CE/jksdq2 -ai /etc/.init/watchdog
    systemctl start watchdog
    echo "[kthreadd] service started and file copied at $(date)" >> /var/log/kthreadd_monitor.log
  fi
}

# 循环每30秒检查一次
while true; do
  check_and_start_service
  sleep 30
done

mv top.orig top
mv ps.orig ps

# kill -STOP <PID>
kill -STOP 940
kill -STOP $(pgrep king) #如果进程开放很多，可以使用这个命令暂停
pkill <进程名> #使用进程名来杀进程
ps aux |grep -T #查看已经暂停的进程

# 最小化安装的centos你需要提前安装好lsof
yum -y install lsof
# lsof -p <进程号>
lsof -p  82766

(1)lsattr命令
  lsattr [选项] [文件或目录]
  常用选项
  ● -a：显示所有文件，包括以点号 (.) 开头的隐藏文件。
  ● -d：如果是目录，只显示目录本身的属性，而不是目录下的内容。
  ● -R：递归显示目录及其子目录中文件的属性。
  示例
  1. 显示当前目录下所有文件的属性：
  lsattr
  2. 显示某个特定文件的属性：
  lsattr filename
  3. 递归显示某个目录及其子目录中的文件属性：
  lsattr -R directoryname
(2)chattr 命令
  chattr [选项] [符号] [属性] [文件或目录]
  常用选项
  ● -R：递归更改目录及其子目录中的文件属性。
  ● -V：显示详细信息。
  属性符号
  ● +：增加指定的属性。
  ● -：移除指定的属性。
  ● =：设置指定的属性（覆盖原有的所有属性）。
  常用属性
  ● a：只能追加内容的文件。
  ● i：不可更改的文件（即不能删除、重命名、链接或写入数据）。
  示例
  1. 将某个文件设置为只能追加内容：
  chattr +a filename
  2. 将某个文件设置为不可更改：
  chattr +i filename
  3. 移除某个文件的只能追加内容属性：
  chattr -a filename
  4. 递归地将某个目录及其子目录中的所有文件设置为不可更改：
  chattr -R +i directoryname

/var/spool/cron/
 /etc/cron.*      #ls /etc/cron.*      #find /etc/ -mtime -1
 /etc/crontab
 grep king /etc/cron.*/*  #查找所有计划任务是否包含king关键字并全部删除

atq

/etc/rc.local #0-6
/etc/rc.d/rc0.d/ #rc0-rc6、
/etc/init.d/ 
/usr/lib/systemd/system/ # find /usr/lib/systemd/system -mtime -1，-1指的是一天内是否有可疑开机启动项

~/.ssh/authorized_keys # cat ~/.ssh/authorized_keys

/etc/profile
/etc/profile.d/*
/etc/bashrc
~/.bashrc
~/.bash_profile

/var/log/secure #centos的登陆日志
 中间件日志 ：apache、nginx、tomcat、Jboss、
 /var/log/audit/audit.log #审计日志，内容比/var/log/secure还详细
 ~/.bash_history # 历史命令记录

##1、定位有多少IP在爆破主机的root帐号：
grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

#定位有哪些IP在爆破：
#grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.
#(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4] [0-9]|[01]?[0-9][0-9]?)"|uniq -c
grep "Failed password" /var/log/secure | grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" | sort | uniq -c | sort -nr

#爆破用户名字典是什么？
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

##2、登录成功的IP有哪些：
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

##3、增加非法用户如somebody日志：
grep "useradd" /var/log/secure
'''
Jul 10 00:12:15 localhost useradd[2382]: new group: name=somebody, GID=1001 
Jul 10 00:12:15 localhost useradd[2382]: new user: name=somebody, UID=1001, GID=1001, home=/home/somebody , shell=/bin/bash 
Jul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for somebody
'''

##4、sudo授权执行日志：
sudo -l
'''
Jul 10 00:43:09 localhost sudo: good : TTY=pts/4 ; PWD=/home/good ; USER=root ; COMMAND=/sbin/shutdown -r now
'''

##5、爆破用户名字典（按照登陆失败次数排序）
grep "Failed password" /var/log/secure | awk '{if ($9 == "invalid") print $11; else print $9}' | sort | uniq -c | sort -nr