Hardening Linux读书笔记(一)

今天读了《Hardening Linux》的第一章。

检查系统是否被黑客入侵；检查系统的稳定性和可用性

1、查看用户登录情况

root@wangyao-ubuntu:/home/wangyao# who
wangyao :0           2006-07-08 08:50
wangyao  pts/0        2006-07-08 08:50 (:0.0)

发现可疑的帐号，锁住它
passwd －l username
 -l, --lock                    lock the named account

2、last命令
last, lastb - show listing of last logged in users
它的输出信息来自于/var/log/wtmp，黑客入侵后一般会删除这个文件

root@wangyao-ubuntu:/home/wangyao# last
wangyao  pts/0        :0.0             Sat Jul  8 08:50   still logged in
wangyao  :0                            Sat Jul  8 08:50   still logged in
reboot   system boot  2.6.15-25-k7     Sat Jul  8 08:49          (05:48)
wangyao  pts/1        :0.0             Thu Jul  6 21:19 - 22:45  (01:26)
wangyao  pts/1        :0.0             Thu Jul  6 20:07 - 20:08  (00:00)
wangyao  pts/1        :0.0             Thu Jul  6 19:35 - 19:58  (00:23)
wangyao  pts/0        :0.0             Thu Jul  6 19:25 - 22:45  (03:20)
wangyao  :0                            Thu Jul  6 18:18 - 22:46  (04:27)
reboot   system boot  2.6.15-25-k7     Thu Jul  6 18:18          (04:27)
wangyao  :0                            Thu Jul  6 18:15 - crash  (00:02)
reboot   system boot  2.6.15-25-k7     Thu Jul  6 18:15          (04:30)
wangyao  :0                            Thu Jul  6 18:13 - crash  (00:02)

3、查看系统的日志
/var/log/messages文件
匹配“fail”和“repeat”这两个关键词

grep fail /var/log/messages
grep repeat /var/log/messages

4、检查系统的稳定性和可靠性

检查硬件问题：
grep error /var/log/messages


总结：一般系统被入侵后，我们平衡重装和修复的代价，建议还是选择重装。因为黑客很可能已经在你的系统里面中下了木马。