记一次Linux服务器入侵应急响应
一、确定安全事故
紧急情况，最先要确定安全事故的真实有效。通过和服务器运维管理工作人员沟通交流，掌握到业务流程只以内网运用，但服务器居然放宽到外网地址了，能在公网立即ping通，且对外开放了22远程端口。从这一点基本上可以确定服务器已经被入侵了。
二、日志剖析
猜测黑客可能是根据SSH爆破登陆服务器。查询/var/log下的日志，发现绝大多数日志信息内容已经被消除，但secure日志并没有被毁坏，能够看见很多SSH登录失败日志，并存有root客户多次登录失败后取得成功登陆的纪录，合乎暴力破解密码特点
根据查询威胁情报，发现暴力破解密码的好几个IP皆有故意扫描仪个人行为
三、结构化分析
系统对重要配备、账户、历史数据等开展清查，确定系统对的危害状况
发现/root/.bash_history内历史数据已经被消除，别的无异常。
四、过程剖析
对现阶段主题活动过程、数据连接、开机启动项、任务计划等开展清查
发现下列问题：
1) 出现异常数据连接
根据查询系统软件数据连接状况，发现存有木马病毒木马程序te18互联网网络部。
在线查杀该文件为Linux木马程序。
2) 出现异常定时任务
根据查询crontab 定时任务，发现存有出现异常定时任务。
剖析该定时任务运作文档及运行主要参数
在线查杀有关文档为挖币程序流程
查询挖矿软件环境变量
五、文档剖析
在/root文件目录发现黑客嵌入的恶意程序和相应实际操作文档。
黑客建立隐藏文件夹/root/.s/,用以储放挖币有关程序流程。
六、侧门清查
最终应用RKHunter扫描仪系统软件侧门
七、汇总
根据以上的剖析，可以判定出黑客根据SSH工程爆破的方法，工程爆破出root客户登陆密码，并登录操作系统开展挖币程序流程和木马病毒侧门的嵌入。
结构加固提议
1) 删掉crontab 定时任务（删除文件夹/var/spool/cron/root具体内容），删掉服务器上黑客嵌入的虚假文档。
2) 改动全部系统软件客户登陆密码，并达到登陆密码复杂性规定：8位以上，包括大小写字母 数据 特殊字符组成；
3) 如可选择性严禁SSH端口号对外开放网开放，或是改动SSH默认设置端口号并限定容许浏览IP；
免责声明：世链矿业网作为开放的信息发布平台，所有资讯仅代表作者个人观点，与世链矿业网无关。如文章、图片、音频或视频出现侵权、违规及其他不当言论，请提供相关材料，发送到：2785592653@qq.com。
风险提示：本站所提供的资讯不代表任何投资暗示。投资有风险，入市须谨慎。
