如何知道系统被入侵(Linux/Unix)

韩冰

检查你的系统查找如下特征，一旦发现表明你的系统被此文中提到的一些人入侵了。 　　1.目录 /dev/../sun2 存在 　　2.目录 /var/spool/.recent存在 　　3.Solaris installation has /bin/pico 1 t7 Z7 h6 Z5 v" }* V1 p 8 v/ j* P0 Z% e0 E" B　　4.Solaris 安装了 /bin/pico 2 p( O. v/ f( Z' h 　　5.你可以以root登录，密码是ABcDeFgHiJ ! W/ Z" X7 A; S. g4 i9 M4 i　　6.一些日志或用户文件包含're'或'r'帐号 + o5 s# q" b7 ~) Y 　　如果你的系统运行的是Solaris操作系统，你可以用下面命令MD5签名同Sun的在线MD5指纹数据库进行比较http://sunsolve.Sun.COM/pub-cgi/show.pl?target=content/content7 9 e$ A5 t& `! W( T$ H7 y 1 V6 l& j. x6 ^　　********************************** 5 r& l/ K) _' i4 m 　　/bin/ls " x% M2 D# m: H; j8 y) }: S ' I& J5 `9 H7 f8 z* N　　/bin/login 0 T5 e! Z! \5 R1 n( z! E; a6 h 　　/bin/find ) V0 q1 L# o+ X 　　/bin/ps , K4 W i: _7 |! T, B8 Z 　　/sbin/netstat 　　********************************** 　　如果发现不一致，那么这些binaries程序很可能就是后门程序，应该使用信任拷贝来恢复系统。一旦发现这些特征，就表明你的系统很可能被入侵了。一旦被入侵，那么你应该考虑重装系统并安装最新的补丁。想获取更多信息，请参考：http://www.cert.org/nav/recovering.html。