如何知道系统被入侵(Linux/Unix)

韩冰

检查你的系统查找如下特征，一旦发现表明你的系统被此文中提到的一些人入侵了。 　　1.目录 /dev/../sun2 存在 9 o7 h. E+ @3 e( x　　2.目录 /var/spool/.recent存在 　　3.Solaris installation has /bin/pico 　　4.Solaris 安装了 /bin/pico ; L0 E' V/ I8 h+ B( i+ v 4 L& c! h- p$ v* i: |　　5.你可以以root登录，密码是ABcDeFgHiJ 　　6.一些日志或用户文件包含're'或'r'帐号 % g. x' n/ l, H; c! o- A" u " r5 H* j4 r9 Y4 D3 Q* S' v　　如果你的系统运行的是Solaris操作系统，你可以用下面命令MD5签名同Sun的在线MD5指纹数据库进行比较http://sunsolve.Sun.COM/pub-cgi/show.pl?target=content/content7 　　********************************** ; O% l3 P7 Y( Y9 d/ @2 d　　/bin/ls " x, e, H, l. z0 s. ]8 A; r5 e 　　/bin/login 1 b# m1 A+ ^% {7 B. E. I　　/bin/find 　　/bin/ps 7 K% H2 ?" \0 l. x% v& x& O" F - ^+ Y I( y. \) H7 [: h1 |! w9 f7 P3 o' \　　/sbin/netstat 　　********************************** 3 k2 p7 ^# {# @5 F; ~　　如果发现不一致，那么这些binaries程序很可能就是后门程序，应该使用信任拷贝来恢复系统。一旦发现这些特征，就表明你的系统很可能被入侵了。一旦被入侵，那么你应该考虑重装系统并安装最新的补丁。想获取更多信息，请参考：http://www.cert.org/nav/recovering.html。 5 \7 x; }8 w0 u+ O. |, B ( S, b% O# O3 ? y. e6 c