检测并处理Rootkit

可以用Zeppoo 、Chkrootkit和rkhunter检测Rootkit 。

第一个太老了。

剩下的两个可以在下面找到最新的。

用 nmap -sS localhost 看一下自己的网络端口状态
不正常的话就把除去SSH的都给删除了，再一个一个开

find / -name '.*' -perm +4000

lsattr /usr/bin

lsattr /usr/sbin

lsattr /bin

属性变化的那些文件给变回来，删除之。再找个好的机器给拷贝回来。
隐藏的非你所用的删除之。
非必要用户删除之。



注意的后续几点：
你的SSH设置：监听非22端口，只监听内网网卡，只能从指定的几台机器SSH上来，不让root登录。再强化一点的话可以把SSH登录的验证方式改成非密码验证。

好好设计你的IPTABLES

 

本帖最后由 deams 于 2010-11-26 18:49 编辑





用 nmap -sS localhost 看一下自己的网络端口状态
不正常的话就把除去SSH的都给删除了，再一个一个开

find / -name '.*' -perm +4000
属性变化的那些文件给变回来，删除之。再找个好的机器给拷贝回来。
隐藏的非你所用的删除之。
非必要用户删除之。



注意的后续几点：
你的SSH设置：监听非22端口，只监听内网网卡，只能从指定的几台机器SSH上来，不让root登录。再强化一点的话可以把SSH登录的验证方式改成非密码验证。

需要好好设计你的IPTABLES