命令

说明

cat /etc/passwd

查看是否有异常的系统用户

命令

说明

cat /etc/shadow

存储 Linux 系统中用户的密码信息，又称为“影子文件”

命令

说明

netstat -antlp

检查端口

ls -l /proc/$PID/exe

查看pid所对应的进程文件路径

命令

说明

ps aux | grep pid

分析进程

ps -ef

查看进程

lsof -p pid

查看进程打开的端口和文件

命令

说明

crontab -l

列出某个用户cron服务的详细内容

crontab -r

删除每个用户cront任务(谨慎：删除所有的计划任务)

crontab -e

使用编辑器编辑当前的crontab文件

cat /etc/crontab

查看计划任务内容

ls /etc/cron.*

列出以cron.开头的文件或目录

more /etc/cron.daily/*

查看目录下所有文件

ls -l /var/spool/cron/*

查看用户级计划任务配置。有的人喜欢用 crontab -l 命令来排查，这样做不全面，因为 crontab -l 命令只是查看当前登录用户的计划任务，无法查看其他用户的计划任务。而用左侧这个命令，可以查看所有用户设置的计划任务。

ls -l /etc/cron.d/

如果发现该目录下存在未见过的脚本要格外留意。

ls -l /etc/cron.hourly/

该目录下的脚本会每小时执行一次。

ls -l /etc/cron.daily/

该目录下的脚本会每天执行一次。

ls -l /etc/cron.weekly/

该目录下的脚本会每周执行一次。

ls -l /etc/cron.mouthly/

该目录下的脚本会每月执行一次。

cat /etc/crontab

查看系统级计划任务配置。

检查命令

说明

cat /etc/rc.d/rc.local

由于系统会在开机时自动执行/etc/rc.d/rc.local文件里面的命令，因此也常常被黑客利用。

检查命令

说明

ls -l /etc/systemd/system/

ls -l /etc/systemd/system/multi-user.target.wants/

黑客通常会把恶意命令做成一个开机启动服务项，让其随着系统重启自动执行。我们一定要仔细观察这两个目录下面的每个启动项。

ls -lA /etc/rc.d/init.d/

这个目录有时也会被黑客放入恶意脚本，也记得查看。

检查命令

说明

cat /etc/profile

cat /etc/bashrc

cat ~/.bash_profile

cat ~/.bash_login

cat ~/.bashrc

这些文件都是系统和用户的环境变量配置文件，黑客有时会在里面写入恶意命令，当系统加载环境变量配置文件时，恶意命令也会随之运行。

cat /etc/ld.so.preload

通过配置该文件，可以让程序在运行之前，优先加载某些动态链接库。部分木马正是利用此文件的功能，修改该了文件，在里面添加恶意so文件，从而达到了隐藏挖矿进程的目的。这也就是为什么服务器中毒了，CPU使用率很高，但是却看不到占用CPU高的进程的原因。

默认该文件是空的，如果发现该文件里面有内容，则可能是黑客植入的，我们需要把该文件中列出的对应路径下的so文件全部删除掉，最后再清空ld.so.preload文件即可。

检查命令

说明

ls -Athl /usr/bin

ls -Athl /usr/sbin

根据修改时间来查看二进制命令，新文件在最前，旧文件在后。

通常黑客入侵服务器后，会植入一些二进制命令，这些命令文件的日期较新，我们可以根据这个特征，把新文件优先列出来，仔细辨别是否为恶意命令。

ls -AShl /usr/bin

ls -AShl /usr/sbin

根据文件大小来查看二进制命令，大文件在最前，小文件在后。

通常黑客入侵服务器后，会植入一些二进制命令，这些二进制命令的体积往往比较大，远超过系统命令的大小。我们可以根据这个特征，把大文件优先列出来，仔细辨别是否为恶意命令。

find /usr/bin/ -iname ".*" -ls

find /usr/sbin/ -iname ".*" -ls

列出/usr/bin/、/usr/sbin/等目录下的隐藏文件。

黑客有时会把恶意命令进行隐藏，我们可以通过左侧这两个查找命令，把隐藏文件全部列出来。

检查命令

说明

cat /etc/sysctl.conf

黑客入侵服务器后，还会修改内核配置文件，有时会添加如下参数：

vm.nr_hugepage

该参数的作用是用来设置大内存页，默认该参数的值是0。黑客有时会设置该参数来优化内存性能，来为挖矿程序的运行提供最大内存资源。也正是由于该参数的存在，会导致系统重启之后，很多服务无法正常加载运行，从而导致系统长时间卡在服务加载界面。

检查命令

说明

cat /root/.ssh/authorized_keys

黑客入侵系统后，通常会在此文件中写入公钥，以便黑客可以免密登录系统。我们需要仔细辨别该文件的公钥内容，去伪留真。

检查命令

说明

cat /etc/passwd |grep -i /bin/bash

列出所有具有登录系统权限的用户名。有时黑客会创建后门登录账户，以便其持续入侵，需要我们来辨别。

检查命令

说明

cat /etc/hosts

cat /etc/resolv.conf

有时黑客会修改DNS解析设置文件，以便解析某些恶意域名。

我们需要检查该文件进行确认，如果黑客确实修改了，则要进行配置还原，改回成系统默认的DNS地址，否则可能会影响我们访问网站的速度。

检查命令

说明

ls -Al /tmp

ls -Al /var/tmp

有时黑客会把恶意病毒文件或恶意脚本，放置到这两个临时目录中，需要我们仔细查看加以辨别。

ls -Al /dev/shm

/dev/shm是Linux系统利用内存虚拟出来的一个目录，目录中的文件都保存在内存中，效率非常高。也就是往这个目录写东西，仅写在内存里，不会持久化到磁盘。系统重启后，文件消失。

有时黑客也会把病毒文件或脚本藏到这个临时目录里面。