曆數Linux伺服器被黑問題及應對措施

本文給大家講解了關于linux伺服器被黑的解決方法。其中的講到了“root kits”或者流行的刺探工具占用了你的cpu，存儲器，資料和帶寬的問題。

　　平時會有一些朋友遇見伺服器被黑的問題，經過搜集和整理相關的相關的材料，在這裡本人給大家找到了linux伺服器被黑的解決方法，希望大家看後會有不少收獲。如果你安裝了所有正确的更新檔，擁有經過測試的防火牆，并且在多個級别都激活了先進的入侵檢測系統，那麼隻有在一種情況下你才會被黑，那就是，你太懶了以至沒去做該做的事情，例如，安裝bind的最新更新檔。

　　一不留神而被黑确實讓人感到為難，更嚴重的是某些腳本小鬼還會下載下傳一些衆所周知的“root kits”或者流行的刺探工具，這些都占用了你的cpu，存儲器，資料和帶寬。這些壞人是從那裡開始着手的呢?這就要從root kit開始說起。

　　一個root kit其實就是一個軟體包，黑客利用它來提供給自己對你的機器具有root級别的通路權限。一旦這個黑客能夠以root的身份通路你的機器，一切都完了。唯一可以做就是用最快的效率備份你的資料，清理硬碟，然後重新安裝作業系統。無論如何，一旦你的機器被某人接管了要想恢複并不是一件輕而易舉的事情。

　　你能信任你的ps指令嗎？

　　找出root kit的首個竅門是運作ps指令。有可能對你來說一切都看來很正常。圖示是一個ps指令輸出的例子。真正的問題是，“真的一切都正常嗎?”黑客常用的一個詭計就是把ps指令替換掉，而這個替換上的ps将不會顯示那些正在你的機器上運作的非法程式。為了測試個，應該檢查你的ps檔案的大小，它通常位于 /bin/ps。在我們的linux機器裡它大概有60kb。我最近遇到一個被root kit替換的ps程式，這個東西隻有大約12kb的大小。

　　另一個明顯的騙局是把root的指令曆史記錄檔案連結到/dev/null。這個指令曆史記錄檔案是用來跟蹤和記錄一個使用者在登入上一台linux機器後所用過的指令的。黑客們把你的曆史紀錄檔案重定向到/dev/null的目的在于使你不能看到他們曾經輸入過的指令。

　　你可以通過在 shell提示符下敲入history來通路你的曆史記錄檔案。假如你發現自己正在使用history指令，而它并沒有出現在之前使用過的指令清單裡，你要看一看你的~/.bash_history 檔案。假如這個檔案是空的，就執行一個ls -l ~/.bash_history指令。在你執行了上述的指令後你将看到類似以下的輸出：

　　-rw------- 1 jd jd 13829 oct 10 17:06 /home/jd/.bash_history

　　又或者，你可能會看到類似以下的輸出：lrwxrwxrwx 1 jd jd 9 oct 10 19:40 /home/jd/.bash_history -> /dev/null

　　假如你看到的是第二種，就表明這個 .bash_history 檔案已經被重定向到/dev/null。這是一個緻命的資訊，現在就立即把你的機器從internet上斷掉，盡可能備份你的資料，并且開始重新安裝系統。

　　解決linux伺服器被黑，需要尋找未知的使用者賬号：

　　在你打算對你的linux機器做一次檢測的時候，首先檢查是否有未知的使用者賬号無疑是明智的。在下一次你登入到你的linux伺服器時，敲入以下的指令：

　　grep :x:0: /etc/passwd

　　隻有一行，我再強調一遍，在一個标準的linux安裝裡，grep指令應該隻傳回一行，類似以下：

　　root:x:0:0:root:/root:/bin/bash

　　假如在敲入之前的grep指令後你的系統傳回的結果不止一行，那可能就有問題了。應該隻有一個使用者的uid為0，而如果grep指令的傳回結果超過一行，那就表示不止一個使用者。認真來說，雖然對于發現黑客行為，以上都是一些很好的基本方法。但這些技巧本身并不能構成足夠的安全性，而且其深度和廣度和在文章頭提到的入侵檢測系統比起來也差得遠。

　　以上給大家講解的是一個小的知識點，關于linux伺服器被黑的解決方法。