如何通过rootkits/后门/僵尸网络等检查Linux服务器是否干净？

Question

如果 Linux 服务器以极低的安全策略（r/w 匿名 Samba 文件夹、具有默认管理员密码的 Firebird 数据库服务器、没有防火墙等）暴露在互联网上一周，那么我如何确保系统是没有完全格式化和重新安装就不会受到损害，只能通过 SSH 远程访问它？

Answer 1

通常我会建议使用诸如chkrootkit 之类的工具进行本地检查，但如果运行检查的唯一方法是远程进行，那么我建议您改用Rootkit Hunter。

Rookit Hunter 通过运行如下测试来检查 rootkit 和其他此类活动（有关更多详细信息，请参阅项目信息）：

• MD5 哈希比较
• 查找 rootkit 使用的默认文件
• 二进制文件的文件权限错误
• 在 LKM 和 KLD 模块中查找可疑字符串
• 寻找隐藏文件

我想补充一点，正如其他人所说，确保您的服务没有被篡改的唯一可靠方法是重建它。这些工具运行良好，但并不能 100% 保证成功。

Answer 2

OSSEC检查 Rootkit 并检测可疑活动。