Linux环境下发现并阻止系统攻击( 四 ) _云知道

# nmap -sS -O localhost

Starting nmap V. 2.3BETA5 by Fyodor (fyodor@dhp.com,
www.insecure.org/nmap/)
Interesting ports on localhost (127.0.0.1):
Port State Protocol Service
21 open tcp ftp
23 open tcp telnet
25 open tcp smtp
53 open tcp domain
79 open tcp finger
80 open tcp http
98 open tcp linuxconf
111 open tcp sunrpc
113 open tcp auth
139 open tcp netbios-ssn
513 open tcp login
514 open tcp shell
515 open tcp printer

TCP Sequence Prediction: Class=random positive increments
Difficulty=4360068 (Good luck!)
Remote operating system guess: Linux 2.1.122 - 2.2.12

Nmap run completed -- 1 IP address (1 host up) scanned in 2
seconds

这些打开的端口就是攻击者入侵点。当你修改过inetd.conf文件以关闭某些服务，从新启动inetd后，你再用nmap扫描就可以发现被注释掉的服务扫描不到了。
当然，管理员还可以使用一些其他的安全扫描工具如：satan或 Nessus等来检测自己的系统的安全可靠
性，在攻击者发现其以前更早的发现自己的系统的漏洞，并加以弥补。
三、
一个笑话里说一个小偷进入到一家，偷光了屋子里所有的东西，但是却用一个相同的东西代替了偷走
的东西。但是在网络世界里，这却是可能发生的。一个攻击者利用一个系统漏洞非法入侵进入到你的系
统后，当你使用ps命令列出系统中的所有的进程时，却看不到什么异常的证据。你查看你的password文件，
一切也是那么的正常。到底发生了什么事情呢？当系统进入到你的系统以后，第一步要做的事情就是取代
系统上某些特定的文件：如netstat命令等。当你使用netstat -a命令时，就不会显示系统攻击者存在的
信息。当然攻击者将替代所有的可能泄露其存在的文件在linux环境下一个有名的这样的工具包名字是
rootkit 。通过在任何一个搜索引擎搜索关键字rootkit可以得到数以百计的结果。这些工具一般来说包括：

ps netstat top .....

由于这些经过文件已经被取代。所以简单的利用ls命令查看这些文件是看不出什么破绽的。有若干种方法你
可以验证系统文件的完整性。如果你安装的是Red Hat, Caldera, TurboLinux或任何使用RPM的系统。你可
以利用RPM来验证系统文件的完整性：首先你应该查明你的那些你需要查看的文件来自哪个软件包，使用
rpm命令你可以查明某个文件属于某个包： # rpm -qf /bin/netstat net-tools-1.51-3 然后，可以扫描
整个rpm包来查看那些发生了改变。对没有发生改变的包使用该命令将没有任何输出信息，如下所示：

# rpm -V net-tools

将netstat的5.2版本的二进制可执行文件替换为6.0的版本以后再使用该命令的结果为：

.......T /bin/netstat

这说明/bin/netstat/文件已经被修改。若我使用rpm -qf测试ps和top命令可以得到其属于包procps，然后再
验证包procps的完整性。下面是一个被"黑"的站点的结果：

# rpm -qf /bin/ps procps.2.0.2-2
# rpm -V procps
SM5..UGT /bin/ps
..UGT /usr/bin/top

攻击者入侵到系统中，并且用自己的ps及top命令替代了我们系统中的命令。从而使管理员看不到其
运行的进程，也许是一个sniffer来监听所有的用户所有进出网络的数据并找寻到密码信息。下面是一个小
的script来扫描你系统的所有的rpm库，并检查所有的包是否被篡改。但是应该注意的是并不是所有该scripts
报告的问题都是说明该系统文件被攻击者破坏。例如你的password文件一般肯定和你安装系统时是不同的：

#!/bin/bash
#
# Run through rpm database and report inconsistencies
# for rpmlist in `rpm -qa`
# These quotes are back quotes
do echo " ----- $rpmlist -----" ;

Linux环境下发现并阻止系统攻击( 四 )

推荐阅读

博德之门3战斗模式有什么技巧博德之门3实用战斗技巧分享

Photoshop怎么将图片处理成二寸照片

抓紧防治梨炭疽病

入口+流程南海区第四人民医院预防接种网上预约

海蓝宝手镯怎么鉴别好坏海蓝宝怎么鉴别

如何自学抽象代数

樊哙嫡子樊伉在诛诸吕中被杀，吕后的外孙为何活了下来？

这5个设计，乍一看奇奇怪怪，家里没一个人看好，入住后都夸好用

一个鼓励的微笑作文600 关于一个鼓励的微笑作文

新买的床单被罩怎么洗

男人保湿

池塘中一般有什么鱼，一般公园池塘里都有什么鱼类

海底捞成立于哪一年

兰斯阿姆斯特朗

枪魂非r选什么职业,DNF名人堂枪魂冰子

烤猪怎么吃不腻烤猪怎么放料酒不酸的？