一、取证特征

1)获取进程ID

使用top命令,查看占用内存率最高的十位随机名称进程名(示例:进程名pygdykcrqf)

2)获取进程对应路径

Linux 在启动一个进程时,系统会在/proc下创建一个以 PID 命名的文件夹,在该文件夹下会有进程信息。

ll /proc/xxxx

用lsof查看某个路径下的进程列表,木马文件在/usr/bin/下的文件拷贝出来备份。

lsof /usr/bin/*

用pidof命令查看某个路径下进程的pid,判断有没有符合条件的木马文件:

pidof /usr/bin/*

查看目录

/usr/bin

/tmp

/bin

3)查看计划任务

$ cat /etc/crontab

查看计划任务的具体内容,如果有可疑的Shell脚本拷贝出来。例如:

/etc/cron.hourly/gcc.sh

二、清除木马

1)下载rkhunter,扫描Rootkit

$ wget http://downloads.sourceforge.net/project/rkhunter/rkhunter/1.4.2/rkhunter-1.4.2.tar.gz 

$ tar xzvf rkhunter*
$ cd rkhunter*
$ ./installer.sh --layout /usr --install
$ rkhunter --update
$ rkhunter -C

2)重新安装默认命令程序

常用命令依赖包名如下:

ps --> procps
ss --> iproute
netstat --> net-tools
top --> htop
e2fsprogs #可以恢复chattr lsattr

安装命令:

$ yum -y reinstall procps lsof  iproute net-tools

3)删除cron定时任务

$ rm -f /etc/cron.hourly/gcc4.sh
$ crontab -e # 进入 vim 编辑器,删除木马启动内容
$ chattr +i /etc/crontab

删除木马源文件:

rm -f /lib/libudev4.so /lib/libudev4.so.6

4)清除开机启动内容

$ ls /etc/rc*/
# init.d 是软链 `init.d -> rc.d/init.d`
$ ls /etc/rc*/init.d

查看 /usr/bin/ 中最近变动的文件,并删除十位随机字串木马

$ ls -lt /usr/bin/ | head
# 或者用 `ls -lrt /usr/bin/` 查看按时间倒序查

删除服务里面的异常服务

chkconfig --list|grep :on
chkconfig --del 异常服务名

5)使用clamav进行病毒查杀

#安装

yum install -y epel-release

yum install -y clamav

#更新病毒库

freshclam

#扫描方法

clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log

clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log

clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log

#扫描并杀毒

clamscan -r  --remove  /usr/bin/bsd-port

clamscan -r  --remove  /usr/bin/

clamscan -r --remove  /usr/local/zabbix/sbin

#查看扫描日志

cat /root/usrclamav.log |grep FOUND

/usr/bin/ohhnzdjent: Unix.Trojan.DDoS_XOR-1 FOUND

/usr/bin/oracle: Legacy.Trojan.Agent-1388639 FOUND

/usr/bin/tgbtrjldlq: Unix.Trojan.DDoS_XOR-1 FOUND

/usr/bin/wcwghpgruw: Unix.Trojan.DDoS_XOR-1 FOUND

6)彻底查杀木马

  1. 尝试破坏病毒文件
echo slkfhrl,kfhs > /lib/libudev4.so

rm -f /lib/libudev4.so

touch /lib/libudev4.so

chattr +i /lib/libudev4.so
  1. 通过关联文件清除服务里面的异常服务
grep -r scon.sh /etc/

三、参考

https://www.waitalone.cn/linux-xorddos.html

Linux XOR.DDoS样本取证特征与清除的更多相关文章

  1. Wannacry样本取证特征与清除

    一.取证特征 1)网络域名特征 http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com 2)文件特征 母体文件 mssecsvc.exe c: ...

  2. 关于chkrootkit 检查 INFECTED: Possible Malicious Linux.Xor.DDoS installed

    chkrootkit检测时,发现一个Xor.DDoS内容,内容如下...Searching for Linux.Xor.DDoS ... INFECTED: Possible Malicious Li ...

  3. Virut样本取证特征

    1.网络特征 ant.trenz.pl ilo.brenz.pl 2.文件特征 通过对文件的定位,使用PEID查看文件区段,如果条件符合增加了7个随机字符区段的文件,则判定为受感染文件. 3.受感染特 ...

  4. 一个windows下的ddos样本

    一个windows下的ddos样本. 加载器 程序运行之后会在临时目录释放出一个256_res.tmp的文件 之后将该文件移动至system32目录下,以rasmedia.dll命名. 删除原文件. ...

  5. The Art of Memory Forensics-Windows取证(Virut样本取证)

    1.前言 The Art of Memory Forensics真是一本很棒的书籍,其中使用volatility对内存进行分析的描述可以辅助我们对更高级类的木马进行分析和取证,这里对书中的命令进行了笔 ...

  6. Linux环境下查看历史操作命令及清除方法

    在Linux环境中可以通过方向键的上下按键查看近期键入的命令.但这种方法只能一个一个的查看,其实系统提供了查看所有历史命令的方法. 在终端中输入以下命令查看所有命令: history [root@te ...

  7. ddos,cc 攻击特征研究

    a.关于DDos攻击的常见方法 1. SYN Flood:利用TCP协议的原理,这种攻击方法是经典最有效的DDOS方法,可通杀各种系统的网络服务,主要是通过向受害主机发送大量伪造源IP和源端口的SYN ...

  8. linux 通过 mac地址 查询 ip 和 清除arp 缓存

    问题重述: 今天,突然找不到vm 的ip 了,但是可以从网卡状态上看到其 mac 地址,并且确定主机是启动状态,网络状态良好(后来发现因为子网掩码的问题,导致虚拟机和网关之间不通信,从而导致其他网络的 ...

  9. linux dpdk DDOS清洗和流量行为分析

    http://www.linuxidc.com/Linux/2014-09/106285.htm http://www.th7.cn/system/lin/201403/51652.shtml DDO ...

随机推荐

  1. java 加载过程

    1.main方法进入方法区 2.main方法进栈 3.调用xxx类加载到jvm中 类属性进入数据共享区,方法进入到方法区

  2. iOS 数据库sqlite完整增删改查操作

    1: 创建数据库表格 1.1 — 表格创建使用一个数据库软件快速创建:软件大小14.3M; 下载地址:http://pan.baidu.com/s/1qWOgGoc; 表格创建-> 打开软件,点 ...

  3. AtCoder Grand Contest 005

    AtCoder Grand Contest 005 A - STring 翻译 给定一个只包含\(ST\)的字符串,如果出现了连续的\(ST\),就把他删去,然后所有位置前移.问最后剩下的串长. 题解 ...

  4. 前端学习 -- Css -- 伪类

    伪类和伪元素用来表示元素所处的一个特殊的状态,或者是一个特殊的位置 比如:访问过的超链接,比如普通的超链接,比如获取焦点的文本框当我们需要为处在这些特殊状态的元素设置样式时,就可以使用伪类 为没访问过 ...

  5. 解题:SHOI 2012 回家的路

    题面 完了,做的时候已经想不起来分层图这个东西了QAQ 对于这种“多种”路径加中转站的题,还有那种有若干次“特殊能力”的题,都可以考虑用分层图来做 显然只需要记录所有的中转站+起点终点,然后拆出横竖两 ...

  6. Linux发不出分片包的问题分析

    今日有个网络攻击模拟需求,要打分片的ip包,程序写好了,在开发机上验证也没问题,然后部署到沙盒环境之后不行,就是发不出来数据包,而不分片的数据包能够正常发送,定位过程如下 1.对比了两台机器/proc ...

  7. NATS_05:NATS服务器部署

    1.NATS安装前的普及 NATS 的服务器是使用 GoLang 语言开发的,其可执行文件的名字为:gnatsd,表示:Go NATS Daemon.NATS服务器是一个开源软件,基于 MIT 许可证 ...

  8. Tomcat权威指南-读书摘要系列3

    3. 在Tomcat中部署Servlet与JSP Web应用程序 jar命令打包war文件 jar cvf examples.war .

  9. java基础-IO流对象之Properties集合

    java基础-IO流对象之Properties集合 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 一.Properties集合的特点 Properties类表示了一个持久的属性集. ...

  10. python---web微信开发

    一:轮询,长轮询,WebSocket了解 轮询: 在前端,设置时间内,一直向后端发送请求.例如:使用setInterval方法设置定时器,一秒向后端发送一次请求,去主动获取数据,进行更新由于前端一直请 ...