Linux系统启动级别被篡改的解决办法

先推荐下我最喜欢的Linux后门系列文章，在我的收藏夹里藏了好久了，来自奇安信的公众号。《红队实战攻防技术分享：Linux后门总结-SSH利用篇》https://mp.weixin.qq.com/s/-F_Ol-J-QfynOCYfD1nG3Q《红队实战攻防技术分享：Linux后门总结-各类隐藏技能》https://mp.weixin.qq.com/s/B5cam9QN8eDHFuaFj...

最近在忙服务器上线的事,所以不可避免的要预防系统入侵的方案,所以在学习怎样检查判断自己的系统是否被别人动过. 1.安装个后门监测软件,查查关键文件是否被篡改过 我下了个chkrootkit 安装过程 yum install gcc gcc-c++ make yum install glibc-static cd /usr/local/src/ wget ftp

如果一个程序的命令行是一个password之类的不便展示的字符串，如何不让ps打印出来呢？ ps是从/proc/$pid/cmdline里拿的命令行，而/proc/$pid/cmdline则是在内核空间解析用户程序的stack区域获取的数据，那么答案很简单，只需要覆盖掉这个区域即可，下面是个示例： #include <stdio.h> #include <stdlib.h> #include <string.h> int main(int argc, char **ar

虚拟机的centOS每次重启后，resolv.conf的内容总是会被篡改 解决方案： vi /etc/sysconfig/network-scripts/ifcfg-eth0 添加一行 PEERDNS=yes

此时输入root密码系统自动进入单用户模式，输入：(fsck为文件系统检测修复命令，“-y”设定检测到错误自动修复，/dev/hda6为发生错误的硬盘分区，请依据具体情况更改此参数)系统修复完成后，用命令“reboot”重新启动即可。“Error 15”显示系统无法找到grub.conf中指定的内核。GRUB引导错误信息，我们观察发现因为打字错误，内核文件的“vmlinuz”打成了“vmlinux”，所以系统无法找到内核的可执行文件。

我们在使用linux系统时会遇到很多问题，如系统崩溃，系统起不来，忘记root密码等等，或许很多人遇到这样的问题直接选择重装系统，但是一次次重装显得很麻烦，那么，我们在接下来就来学习几种系统的排错方法。 切记，排错原则就是缺什么则补什么 ...

导读：常见红队评估中，也能遇到很多Linux服务器，如何使Linux在安全人员/运维人员的检查过程中能够稳定的持续的用做跳板，本系列文章将对常见的Linux后门技术作以总结归纳，将相关技术展现给大家。本篇文章是Linux后门总结文章第一篇，简单介绍了一些常见的shell反弹用法，还有针对不同系统/架构的反弹用法，后门要达到的目的一般都是用作权限维持，这里只介绍几种后面文章中会利用到的sh...

系统的启动级别： 0 ##系统停机模式，系统不能正常启动，机器关闭 1 ##单用户模式，root权限，用于系统维护，禁止远程登陆 2 ##多用户模式，没有NFS网络支持 3 ##完整的多用户文本模式，有NFS，登陆后进入控制台命令行模式 4 ##系统未使用，保留一般不用 5 ##图形化模式，登陆后进入GUI模式 6 ##重启模式，默认级别不能为6，否则不能正常启动 （1）模拟问题 ...

转自：http://www.pinlue.com/article/2021/03/0200/0011549730700.html

原文地址:http://drops.wooyun.org/tips/47310x00 引言某Linux服务器发现异常现象如下图，确定被植入Rootkit，但运维人员使用常规Rootkit检测方法无效，对此情况我们还可以做什么？图1 被植入Rootkit的Linux服务器所有暗链的html文件ls均看不到。使用ls -al 绝对路径，能看到，但无法删除。这些暗链的uid和gid都很奇特 分别为 25...

1 切换到/etc/systemd/system/multi-user.target.wants目录 [root@localhost ~]# cd /etc/systemd/system [root@localhost system]# cd multi-user.target.wants/ [root@localhost multi-user.target.wants]# pwd /etc/sy...

通常系统中了病毒，病毒会修改系统自带的命令，例如： top ls ps pstree netstat lsof ss sshd ssh等等，达到反侦察的目的，所以需要检验下以上命令是否被修改替换。1.https://www.virustotal.com/ , 国外知名安全站点，需翻墙，可查询文件MD5、IP、域名、URL是否恶意，也可上传文件进行病毒扫描。2.https://x.threatbook.cn/ , 国内威胁情报站点，可查询文件MD5、IP、域名、URL是否恶意，也可上传文件进行病毒扫描。

打工还是要打工的。。我最后也没发出去。 紧急处理以后，现在写复盘，大家随我看看我到底是在学习哪些内容。 （以上内容纯属虚构，如有雷同纯属巧合） 简介 之前我们讲过pflag和os.Args，现在说说cobra这个命令行框架。 Kubernetes、Hugo、etcd 这些知名项目都用cobra来做命令行程序。学起来！ 关于作者spf13，这里多说两句。spf13 开源不少项目，而且他的开源项目质量都比较高。相信使用过 vim 的都知道spf13-vim，号称 vim 终极配置。可以一键配置，对于我这样的懒

如果是redhat相关系统: 系统完整性可以通过rpm自带的-Va来校验检查所有的rpm软件包，查看哪些命令是否被替换了： ./rpm -Va > rpm.log 如下： 如果一切均校验正常将不会产生任何输出，如果有不一致的地方，就会显示出来，输出格式是8位长字符串，每个字符都用以表示文件与RPM数据库中一种属性的比较结果 ，如果是. (点) 则表示测试通过。 验证内容中的8个信息的具体内容如下： 标志 介绍 S 文件大小是否改变 M 文件的类型或文件的权限（rwx）是否被