识别 CentOS 系统被 Exploit 利用的思路与步骤
一 日志与认证异常排查
- 重点查看与安全相关的系统日志：/var/log/secure（SSH/登录认证）、/var/log/messages（系统事件）、以及应用日志（如 /var/log/httpd/access_log 等）。使用命令如：tail -f、grep 过滤关键字（如 fail、error、refused、attack、invalid user），关注短时间内大量失败登录、异常来源 IP、非常规时间登录、su/sudo 滥用等迹象。
- 结合 systemd 日志统一检索：journalctl -xe，按时间窗（例如最近 15–30 分钟）排查突发错误与异常服务重启。
- 对 SSH 暴力破解迹象，可配合 DenyHosts 等工具进行登录审计与封禁。
二 进程 网络与系统资源异常
- 进程与服务：用 ps aux / top / htop 排查陌生或高占用的进程，核对 /proc//exe 是否指向合法二进制；用 systemctl list-unit-files | grep enabled 检查不应启用或异常启用的服务。
- 网络连接：用 ss -tulnp / netstat -tulnp 查看异常监听端口、与外网的异常 ESTABLISHED 连接、非常见协议或端口通信。
- 资源与流量：用 vmstat、iostat、sar 观察 CPU/内存/IO 的突发尖峰；用 iftop、tcpdump 抓包定位异常外联与数据外泄。
三 文件完整性与持久化后门检查
- 文件完整性：部署并运行 AIDE / Tripwire，对比基线数据库，发现关键系统文件（如 /bin、/sbin、/usr/bin）被篡改的时间与内容。
- Rootkit 与恶意程序：定期运行 Chkrootkit、Rkhunter、Lynis、ClamAV 检测隐藏进程、可疑内核模块、后门账户与恶意样本；可将检查加入 cron 每日自动执行并邮件告警。
- Web 侧可疑文件：对 /var/www、上传目录等进行 Web 后门扫描（如 LMD/ClamAV），排查 .php 等可疑 WebShell。
四 漏洞与配置面排查
- 漏洞扫描与审计：使用 OpenVAS/Nessus 做周期性漏洞评估；用 Nmap 做端口与服务指纹识别；用 Lynis 做系统加固审计；用 Linux-Exploit-Suggester 根据内核/发行版版本评估潜在提权风险。
- 最小化与收敛攻击面：遵循最小安装原则，关闭不必要服务与端口；通过 firewalld/iptables 仅放行必要流量；启用 SELinux 并设置为 enforcing 模式，减少进程越权可能。
五 处置与加固建议
- 立即隔离与取证：对可疑主机断网或限制访问；保存关键日志（/var/log、journalctl 导出）、进程列表、网络连接与可疑文件样本，以便溯源。
- 阻断与清理：终止恶意进程、下线异常服务；清理后门与可疑文件（在确保不影响业务的前提下），必要时从可信备份恢复。
- 修补与加固：执行 yum/dnf update 及时打补丁；强化 SSH（禁用 root 登录、仅密钥认证、限制来源 IP、更改默认端口）；复核用户与 sudo 权限，清理异常账户。
- 持续监测：恢复服务后保持 日志集中与实时监控，保留 IDS/IPS（如 Snort/Suricata）告警；建立 每日/每周 的自动化安全检查与报告机制。