1 敏感目錄查詢
ls -alt /tmp/
Find ./ -mtime 0 -name “*.jsp”
Find / ctime 2
Ls -al /tmp | grep “Feb 27“
find / *.jsp -perm 4777
find / -type f -perm 777
2 查看進程命令
Netstat -tnlpa | more
3 系統信息
History (cat /root/.bash_histiry)
/etc/passwd
crontab /etc/cron*
Rc.local /etc/init.d chkconfig
Last
4 後門排查
Chkroot: 檢測是否被植入後門、木馬、rootkit、系統命令是否正常、登錄日誌、
rkhunter：系統命令師傅正常（md5校驗）、rootkit檢測、本機敏感目錄檢測、系統配置檢測、服務及套件檢測、第三方應用版本檢測
rpm check檢查：md5 校驗碼、文件尺寸、符號鏈接、文件修改日期、設備、用戶、用戶組、模式
5 webshell查找
find /var/www/ -name “*.php” |xargs egrep ‘assert|phpspy|c99sh|milw0rm|eval|(gunerpress|(base64_decoolcode|spider_bc|shell_exec|passthru|($_\POST[|eval (str_rot13|.chr(|${\”_P|eval($_R|file_put_contents(.*$_|base64_decode’
6 日誌分析
/var/log/wtmp
/var/run/utmp
/var/log/lastlog
/var/log/btmp