CentOS 环境下识别被 Exploit 利用的恶意软件
识别思路与快速检查
- 日志异常：重点查看 /var/log/secure（SSH 登录、sudo 提权）、/var/log/messages、以及 /var/log/audit/audit.log（命令执行、策略变更）。关注多次失败登录、异常来源 IP、非常规时间登录、sudo 到 root、以及 SELinux 拒绝（AVC 消息）。
- 性能与行为：使用 top/htop、vmstat、iostat、sar 观察 CPU、内存、I/O 的异常尖峰；结合 iftop、nload、ss -s、netstat -antupl、tcpdump 检查异常外连、非常规端口通信、短连接洪泛。
- 进程与内核模块：排查隐藏/可疑进程（父子关系异常、无命令行、占用高）、异常内核模块与启动项（如 lsmod、systemctl list-units --type=service、crontab -l -u root、/etc/rc.local、/etc/init.d）。
- 文件与权限：查找近期被修改的可执行文件与脚本（如 /tmp、/var/tmp、/dev/shm、~/.ssh）、异常 SUID/SGID、Web 目录写入（如 /var/www）、以及 inetd/xinetd 配置异常。
- 网络侧迹象：对外部可疑域名/IP 的 DNS 查询、对外 C2 心跳、非常规协议（如 IRC、SOCKS5）或端口（如 4444、6667、31337）通信。
以上步骤有助于从系统、网络与行为层面快速发现被利用后的恶意活动迹象。
恶意软件与 Rootkit 检测工具
- ClamAV：开源杀毒引擎，适合扫描邮件、Web 目录与归档文件中的恶意样本。常用命令：更新病毒库 freshclam；递归扫描 clamscan -r -i /var/www -l clamscan.log；发现即删除可用 –remove（生产环境建议先隔离）。
- Linux Malware Detect（LMD）：面向主机托管环境的恶意软件检测工具，可与 ClamAV 引擎联动（提升检出率与性能）。安装后可在 /usr/local/maldetect/conf.maldet 中开启 email_alert、quar_hits、clamav_scan；用 maldet --scan-all /var/www 扫描，报告用 maldet --report SCANID 查看。
- Chkrootkit：本地 rootkit 迹象检测工具。安装后在 /usr/local/chkrootkit 执行 ./chkrootkit；建议加入 cron 每日自动运行并邮件报告。
- Rkhunter：Rootkit、后门与本地漏洞扫描器。安装后执行 rkhunter -c；可配置 cron 夜间自动扫描并邮件告警。
- Lynis：系统安全审计与加固建议工具，能发现不安全配置与潜在弱点（不直接清除恶意文件）。
以上工具覆盖反病毒、Web 恶意文件、Rootkit 与系统审计，建议组合使用并保留历史报告以便对比。
漏洞利用迹象与网络侧排查
- 服务与端口异常：使用 systemctl 与 netstat/ss 核对不应运行或对外开放的服务；关闭不必要端口，仅放行业务必需端口。
- 漏洞扫描与利用痕迹：对主机与业务端口进行合规扫描（如 Nmap 脚本类别 vuln、exploit、malware），识别已知漏洞与恶意行为特征；必要时在受控窗口使用 Metasploit 进行验证性测试（仅限授权环境）。
- 入侵检测与防御：部署 Snort 等 IDS 实时监控网络层异常；对暴力破解等登录异常使用 Fail2Ban 自动封禁。
- 合规与审计：启用 auditd 记录关键系统调用与策略变更，定期审计 /var/log/audit/audit.log。
这些手段可帮助确认是否存在被利用的漏洞路径，并发现利用后的网络与主机迹象。
处置与加固建议
- 隔离与取证：先隔离受感染主机或网段；对关键日志与可疑文件做只读快照（如 LVM 快照、dd），保留 audit.log、messages、secure 与时间戳。
- 清除与恢复：优先使用 LMD/ClamAV 的隔离与清除功能；无法确认时先备份后重装（最小化安装），并从干净备份恢复业务。
- 修补与收敛：执行 yum/dnf update 更新系统与软件包；启用 yum-cron 自动应用安全补丁；通过 firewalld/iptables 实施最小暴露面策略。
- 身份与访问控制：禁用 root 远程登录，改用 SSH 密钥；限制 sudo 权限与可登录用户；必要时更改 SSH 端口 并仅允许可信来源。
- 持续监控：保持 auditd、Fail2Ban、IDS/IPS 与日志集中分析（如 ELK）长期运行；定期运行 LMD、Chkrootkit、Rkhunter、Lynis 并比对历史报告。
- 备份与演练：建立离线与异地 备份，定期演练恢复流程，确保事件响应闭环。
上述步骤有助于阻断攻击链、降低复发风险并提升长期可观测性。