如果一个黑客做足了攻击的工作，那么他消灭罪证也是会做的比较彻底，这个脚本自我感觉针对那些有准备的人是检测不到什么，但个人认为检测登录用户还是有必要的，废话少说，还是直接上脚本 #!/bin/bash #echo “please input IP address” #read i local=`ifconfig eth0 |grep “inet addr:” |awk ‘{print $2}’|awk -F: ‘{print $2}’` ipfile=`last|grep -v “reboot”|grep -v “begins”|awk ‘{print $3}’|uniq` for i in $ipfile do ipaddr=`wget -q “http://ip138.com/ips.asp?ip=$i&action=2” -O -|grep center|sed -n ’9p’|awk -F’<li>’ ‘{print $2}’|awk -F’<’ ‘{print $1}’|cut -c 11-` echo -e “$i\t$ipaddr”|iconv -f gb2312 -t utf-8 [...]

写这个脚本也是偶然，最近在研究linux下的proc目录，发现可以通过它实现木马的查找 思路 #一般后门程序，在ps等进程查看工具里找不到，因为这些常用工具甚至系统库在系统被入侵之后基本上已经被动过手脚                       # #（网上流传着大量的rootkit。假如是内核级的木马，那么该方法就无效了）。                                                          # #因为修改系统内核相对复杂（假如内核被修改过，或者是内核级的木马，就更难发现了），所以在/proc下，基本上还都可以找到木马的痕迹。  # #思路：                                                                                                                         # #在/proc中存在的进程ID，在 ps 中查看不到（被隐藏），必有问题                                                                    # str_pids=`ps -A|awk ‘{print $1}’` for i in /proc/[0-9]*; do     if echo $str_pids |grep -q `basename $i`; then       :      else        echo “Rootkit’s PID: `basename $i`” >> /data/logs/Rootkit.log     fi done unset str_pids i 建议这个脚本可以不定时的跑一下

#!/bin/bash #30 6 * * * /usr/local/sbin/hacking.sh > /dev/null 2>&1 #定义php木马的关键字查找php木马，该脚本有多项功能被注释，如果需要用到，请打开相应地方即可，当然php木马的关键字还不够完善，需要在实践中累计 check_path1=”/data/webtest” check_path2=”/data2/webtest” mkdir -p /data/logs/hacking hacking_log=”/data/logs/hacking” maillist=”test@gmail.com,test@scoke.org” time=`date +%Y/%d/%m/%H:%M:%S` rm -rf $hacking_log/hacking.log find ${check_path1} -name “*.php” | xargs egrep ‘phpspy|c99sh|milw0rm|eval\(base64_decode|spider_bc|eval\(\$_POST\[' |awk -F: '{print $1}'|sort|uniq >> ${hacking_log}/hacking.log if [ -e $check_path2 ] ;then      find ${check_path2} -name “*.php” | xargs egrep ‘phpspy|c99sh|milw0rm|eval\(base64_decode|spider_bc|eval\(\$_POST\[' |awk -F: '{print [...]

目录的s属性　 目录的S属性使得在该目录下创建的任何文件及目录属于该目录所拥有的组。 [root@localhost web]# ll drwxr-xr-x  2 squid squid 4096 Dec 13 14:05 ss [root@localhost web]# whoami root [root@localhost web]# cd ss [root@localhost ss]# pwd /data/web/ss [root@localhost ss]# touch test [root@localhost ss]# ll total 4 -rw-r–r– 1 root root 0 Dec 13 14:08 test [root@localhost ss]# cd .. [root@localhost web]# chmod +s ss [root@localhost web]# [...]