一篇文章解决Linux系统安全问题排查，另配实操环境

实操地址：
https://www.skillup.host/1/linux/safe/command.md

# Linux 安全检查排查指南

## 1. 系统账户安全检查

### 1.1 检查异常账户

```bash

# 检查是否存在异常root权限账户

grep ":0:" /etc/passwd

# 查看所有UID为0的账户

awk -F: '($3 == 0) {print}' /etc/passwd

# 查看可登录账户

cat /etc/passwd | grep -v nologin | grep -v false

# 查看空密码账户

awk -F: '($2 == "") {print}' /etc/shadow

# 检查sudo权限

cat /etc/sudoers | grep -v "^#\|^#34; | grep "ALL=(ALL)"

# 检查用户组信息

cat /etc/group | grep -E "(root|wheel|admin)"

```

### 1.2 密码策略检查

```bash

# 检查密码策略配置

cat /etc/login.defs | grep -E "(PASS_MAX_DAYS|PASS_MIN_DAYS|PASS_WARN_AGE)"

# 检查PAM密码复杂度要求

cat /etc/pam.d/common-password | grep pam_pwquality

# 检查账户锁定策略

cat /etc/pam.d/common-auth | grep pam_tally2

```

## 2. 登录安全检查

### 2.1 登录记录分析

```bash

# 查看最近登录记录

last -n 20 # 查看最近20次登录记录

lastb -n 20 # 查看最近失败的登录尝试

# 检查当前登录用户

who

w

# 查看登录历史

last | head -20

lastb | awk '{ print $3}' | sort | uniq -c | sort -n #查找试图非法登录的ip

```

### 2.2 SSH安全检查

```bash

# 检查SSH异常登录

grep "Failed password" /var/log/auth.log # Debian/Ubuntu

grep "Failed password" /var/log/secure # CentOS/RHEL

# 检查SSH配置安全性

cat /etc/ssh/sshd_config | grep -E "(PermitRootLogin|PasswordAuthentication|Port)"

# 查看SSH连接状态

ss -tnlp | grep :22

# 检查SSH密钥

ls -la ~/.ssh/

cat ~/.ssh/authorized_keys

```

### 2.3 暴力破解检测

```bash

# 统计失败登录次数

grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr

# 检查可疑IP

grep "Failed password" /var/log/auth.log | grep -oE "[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}" | sort | uniq -c | sort -nr

```

## 3. 进程和服务检查

### 3.1 进程分析

```bash

# 检查异常进程

ps aux | grep -E "(root|nobody)" # 查看root和nobody运行的进程

top -n 1 -b

# 检查进程树

pstree -p

# 查看系统负载

uptime

# 检查内存使用

free -h

```

### 3.2 网络连接检查

```bash

# 检查异常网络连接

netstat -antlp

ss -antlp

lsof -i

# 检查监听端口

netstat -tulnp

# 检查网络连接状态

netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

```

### 3.3 定时任务检查

```bash

# 检查异常定时任务

crontab -l # 当前用户计划任务

ls -la /etc/cron* # 系统计划任务

cat /etc/crontab

# 检查所有用户的定时任务

for user in $(cut -f1 -d: /etc/passwd); do echo "User: $user"; crontab -u $user -l 2>/dev/null; done

# 检查系统定时任务目录

ls -la /var/spool/cron/

```

## 4. 文件系统检查

### 4.1 权限检查

```bash

# 查找SUID/SGID文件

find / -perm -4000 -type f -exec ls -la {} \; 2>/dev/null

find / -perm -2000 -type f -exec ls -la {} \; 2>/dev/null

# 查找可写目录和文件

find / -perm -2 -type d -exec ls -ld {} \; 2>/dev/null # 可写目录

find / -xdev -type d \( -perm -0002 -a ! -perm -1000 \) -print # 全局可写且无粘滞位

# 查找最近修改的文件

find / -mtime -3 -type f -exec ls -la {} \; 2>/dev/null # 3天内修改的文件

find / -ctime -1 -type f -exec ls -la {} \; 2>/dev/null # 1天内状态改变的文件

```

### 4.2 敏感文件检查

```bash

# 检查重要配置文件

ls -la /etc/passwd /etc/shadow /etc/group /etc/sudoers

# 检查系统关键目录权限

ls -ld /etc /bin /sbin /usr/bin /usr/sbin

# 查找隐藏文件

find / -name ".*" -type f 2>/dev/null | head -20

# 检查临时目录

ls -la /tmp /var/tmp

```

### 4.3 文件完整性检查

```bash

# 使用AIDE进行文件完整性检查

aide --check

# 检查系统文件MD5

rpm -Va # CentOS/RHEL

dpkg --verify # Debian/Ubuntu

```

## 5. 日志分析

### 5.1 系统日志

```bash

# 查看系统日志

dmesg | grep -i error

journalctl -p 3 -xb # 查看系统错误日志

# 检查认证日志

tail -f /var/log/auth.log # Debian/Ubuntu

tail -f /var/log/secure # CentOS/RHEL

# 查看系统消息

tail -f /var/log/messages

```

### 5.2 Web服务日志

```bash

# 检查web日志（如有）

tail -n 100 /var/log/apache2/access.log # Apache

tail -n 100 /var/log/nginx/access.log # Nginx

grep -i "php" /var/log/apache2/access.log | grep -v "200"

# 分析访问频率

awk '{print $1}' /var/log/apache2/access.log | sort | uniq -c | sort -nr | head -10

```

### 5.3 日志异常检测

```bash

# 检查日志文件大小异常

ls -lh /var/log/ | awk '$5 > "100M" {print $0}'

# 查找可疑日志条目

grep -i "attack\|hack\|exploit" /var/log/messages

# 检查日志轮转

ls -la /etc/logrotate.d/

```

## 6. 网络和防火墙检查

### 6.1 防火墙状态

```bash

# 检查防火墙规则

iptables -L -n -v

ufw status verbose # Ubuntu

firewall-cmd --list-all # CentOS/RHEL 7+

# 检查开放端口

nmap -sT -O localhost

netstat -tulnp

```

### 6.2 网络配置检查

```bash

# 检查网络接口

ip addr show

ifconfig -a

# 检查路由表

ip route show

route -n

# 检查DNS配置

cat /etc/resolv.conf

# 检查hosts文件

cat /etc/hosts

```

### 6.3 网络安全检查

```bash

# 检查网络连接

netstat -an | grep ESTABLISHED

# 检查ARP表

arp -a

# 检查网络统计

netstat -s

```

## 7. 恶意软件和rootkit检查

### 7.1 Rootkit检测

```bash

# 安装并运行rootkit检测工具

chkrootkit

rkhunter --check

# 更新病毒库

rkhunter --update

freshclam # ClamAV

```

### 7.2 恶意软件扫描

```bash

# 使用ClamAV扫描

clamscan -r /home

clamscan -r /tmp

# 检查可疑进程

ps aux | grep -E "(bitcoin|miner|crypto)"

```

## 8. 系统配置安全检查

### 8.1 内核参数检查

```bash

# 检查内核参数

sysctl -a | grep -E "(net.ipv4.ip_forward|net.ipv4.conf.all.send_redirects)"

# 检查内核模块

lsmod

# 查看内核版本

uname -a

```

### 8.2 服务配置检查

```bash

# 检查运行的服务

systemctl list-units --type=service --state=running

# 检查开机自启服务

systemctl list-unit-files --type=service --state=enabled

# 检查服务配置

systemctl status sshd

systemctl status apache2

```

## 9. 应急响应脚本

### 9.1 快速检查脚本

```bash

#!/bin/bash

# 快速安全检查脚本

echo "=== 系统基本信息 ==="

uname -a

uptime

who

echo "=== 可疑进程检查 ==="

ps aux | awk '$3 > 50.0 || $4 > 50.0 {print $0}'

echo "=== 网络连接检查 ==="

netstat -antlp | grep ESTABLISHED | wc -l

echo "当前建立的连接数"

echo "=== 最近登录检查 ==="

last -n 5

echo "=== 磁盘使用检查 ==="

df -h | awk '$5 > 80 {print $0}'

```

### 9.2 日志收集脚本

```bash

#!/bin/bash

# 安全事件日志收集

LOG_DIR="/tmp/security_logs_$(date +%Y%m%d_%H%M%S)"

mkdir -p $LOG_DIR

# 收集系统信息

uname -a > $LOG_DIR/system_info.txt

ps aux > $LOG_DIR/processes.txt

netstat -antlp > $LOG_DIR/network.txt

last -n 50 > $LOG_DIR/login_history.txt

# 收集日志文件

cp /var/log/auth.log $LOG_DIR/ 2>/dev/null

cp /var/log/secure $LOG_DIR/ 2>/dev/null

cp /var/log/messages $LOG_DIR/ 2>/dev/null

echo "日志收集完成，保存在: $LOG_DIR"

```

## 10. 安全加固建议

### 10.1 基础加固

- 定期更新系统和软件包

- 禁用不必要的服务

- 配置强密码策略

- 启用防火墙

- 配置日志审计

### 10.2 高级加固

- 部署入侵检测系统(IDS)

- 配置文件完整性监控

- 实施网络分段

- 部署安全信息与事件管理(SIEM)

- 定期进行安全评估

**注意**: 在生产环境中运行这些命令时请谨慎，某些命令可能会产生大量输出或消耗系统资源。建议先在测试环境中验证。