如何知道系统被入侵(Linux/Unix)

韩冰

检查你的系统查找如下特征，一旦发现表明你的系统被此文中提到的一些人入侵了。 3 q) c. w6 Y( B0 p 7 r) o1 z# K. U　　1.目录 /dev/../sun2 存在 　　2.目录 /var/spool/.recent存在 / ]' ?3 R5 f7 E 　　3.Solaris installation has /bin/pico 　　4.Solaris 安装了 /bin/pico 　　5.你可以以root登录，密码是ABcDeFgHiJ 6 Z; i5 Y, R7 B/ J+ z7 c 　　6.一些日志或用户文件包含're'或'r'帐号 8 t) C5 }% c. H7 v' m2 H: d5 I 9 }: N$ [9 H5 I' i　　如果你的系统运行的是Solaris操作系统，你可以用下面命令MD5签名同Sun的在线MD5指纹数据库进行比较http://sunsolve.Sun.COM/pub-cgi/show.pl?target=content/content7 　　********************************** " X* }% H) |! X , o" \* o$ f+ B0 a5 P　　/bin/ls 　　/bin/login ; j7 r9 \6 m% m+ j 　　/bin/find & f( i. D% X1 J1 N. `　　/bin/ps ; |8 ?+ p) U$ }8 ^# ^4 e # R4 u- I, Y4 j; w　　/sbin/netstat 6 c% l+ G( b" l, G: N7 i* a 　　********************************** 　　如果发现不一致，那么这些binaries程序很可能就是后门程序，应该使用信任拷贝来恢复系统。一旦发现这些特征，就表明你的系统很可能被入侵了。一旦被入侵，那么你应该考虑重装系统并安装最新的补丁。想获取更多信息，请参考：http://www.cert.org/nav/recovering.html。 1 [& @! j! f7 O: f( e- @% K 2 `3 K3 f0 N4 D" i. i