linux和windows木马排查思路

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了linux和windows木马排查思路，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1407字，纯文字阅读大概需要3分钟。

内容图文

一般常见的黑客入侵途径
1、主机远程连接端口暴露在互联网并存在弱口令，被黑客暴力破解后获取主机权限。
2、主机部署数据库后连接端口暴露互联网，数据库账号弱口令，被黑客入侵数据后提权获取主机权限。
3、部署业务存在应用漏洞，被黑客利用植入webshell，控制主机。

一、windows系统排查木马处理流程：
1、procexp.exe 开启virtual在线查杀,发现木马进程。
2、procexp.exe暂停木马进程，接着打包备份木马文件，保留证据。
3、Autoruns.exe 启动项中找到对应木马进程，右键删除。此方法可删除注册表中的值。
4、Autoruns.exe 开启virtual在线查毒，检查是否有可疑进程。
5、TcpView.exe，检查网络连接情况，关注SYN_SENT。

二、linux系统排查木马处理流程：
1、#top –d 1 –c #查看异常进程
#netstat -anp #关注“SYN_SENT”进程
#lsof #查找异常进程
#ll /proc/PID |grep exe #查看进程物理路径
2、#Kill -19 PID (or kill -STOP PID)
#暂停异常进程
#记录PID号，后面进行删除
3、删除对应的木马文件
先tar命令打包备份
#rm -fr /tmp/ssss
特殊文件删除
#chattr -aji file
(可能还要操作目录#chattr -aji /tmp/)
#chmod -aij /tmp
#rm -fr file
4、删除所有木马进程
#Kill -9 PID
5、检查木马进程是否清除干净
检查计划任务，#vi /etc/cronttab
检查自启动，#ls -lt /etc/rc2.d/ ;ls -lt /etc/rc3.d/ ;ls -lt /etc/rc4.d/ ; ls -lt /etc/rc5.d/
检查init.d, # ls -lt /etc/init.d/
检查连接， #netstat -anp |grep SYN_SENT
或抓包, #tcpdump -vv -i eth0 not port 22
#lsof 命令，如lsof |grep 木马名 ; lsof -i 端口号；lsof |grep deleted
或者将意思木马的程序文件打包，传到windows用杀毒软件扫描确认。

内容总结

以上是互联网集市为您收集整理的linux和windows木马排查思路全部内容，希望文章能够帮你解决linux和windows木马排查思路所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

---