![](https://csdnimg.cn/release/download_crawler_static/86353232/bg3.jpg)
一、操作准备
脚本支持yum与apt-get安装,首先查看源有没有相关安装包,Apt包管理:
apt-get -y update
apt-cache search rkhunter
apt-cache search unhide
apt-cache search clamav
yum包管理:
yum search unhide rkhunter clamav epel-release
没有安装包或者安装不上的情况,可以用 offline.sh 脱机脚本检查。获取
git clone https://github.com/scopion/Emergency-Response
下面的工具中,脚本没有用到Chkrootkit 跟 clamav 工具。
Chkrookit 是因为其用法没必要用。
Clamav 是因为运行时间很长,所以把它注释掉了。可以自己单开一个窗口运行它。
二、工具介绍
1. Linux工具
A.Chkrootkit
Chkrootkit:文件对比工具。使用系统命令检查系统命令文件有没有被篡改。
在操作系统刚被安装之后,或者说服务器开放之前,备份 chkrootkit 使用的系统命令,在一些必要
的时候(怀疑系统命令已被修改的情况等等),让 chkrootkit 使用初始备份的系统命令进行工作。
安装包:chkrootkit.tar.gz
编译:make sense
使用:备份系统初始命令
Mkdir –p /usr/share/.commands/
cp $(which --skip-alias awk cut echo find egrep id head ls netstat ps strings sed
uname ssh) /usr/share/.commands/
检测病毒
./chkrootkit
./chkrootkit -p /usr/share/.commands/ #commands是一个存放原生命令的目录。检查过程中
调用这个目录里面的命令而不再使用系统命令(有被篡改的风险)
B. Unhide
Unhide:隐藏进程及端口查询工具。使用多种方式查询隐藏进程。安装包:unhide-20121229.tgz
centos安装:yum -y install epel-release
yum install -y unhide
ubuntu安装:apt-get -y install unhide
编译: