Linux下使用md5sum查看文件及程序是否被修改
作者 佚名技术
来源 Linux系统
浏览
发布时间 2012-05-18
你怎么知道你的系统是否被入侵过?
呵呵,你可能 说看日志啊 ,如果你遇到了高手他们会清除他们入侵的日志啊!
那怎么办呢,我们想一想 他们入侵系统做什么呢 ,无非就是取得一些系统的权嘛,
然后用这些权利去执行他们的程序,既然要取得一些权利,无非就是新建用户,组啊,
修改一些特殊的程序来挂马啊,我们就可以通过查看我们的关键的程序及文件是否被
修改过来判断有没有被入侵啊.(那为什么不看日志有没有被修改过来看是否被入侵啊,笨啊,正常情况下日志都 会被修改的啊) ,怎么看文件有没有被修改啊,在Linux下有
一个很好的工作,md5sum,就是求文件或程序的MD5和的工具啦,这个MD5又是什么东东啊 其实就是消息摘要算法啊 每个文件或程序的MD5值都是不一样的啦,它是用复杂的数学算法求得的一个128bit的值,不管你的源文件有多大,他的值都是128bit的,如果文件仅有一点的修改,MD5值也会大不相同的啊 他就相当 于一个文件的指纹啊.
 我们先这样做 把系统关键文档和程序的MD5值求出 并备份到另外一台安全的计算机上,当我们怀疑被入侵的时候 再把这些关键文档和程序的MD5值求一次并保存为另一个文档,再比较这两个文档有没有不同,就可以看出一些蛛丝马迹啦,
下面是一个脚本
#!/bin/bashexport path=$PATH:/root md5sum /etc/passwd >>/etc/md5db md5sum /etc/shadow >>/etc/md5db md5sum /etc/group >>/etc/md5db md5sum /usr/bin/passwd >>/etc/md5db md5sum /sbin/portmap>>/etc/md5db md5sum /bin/login >>/etc/md5db md5sum /bin/ls >>/etc/md5db md5sum /bin/ps >>/etc/md5db md5sum /usr/bin/top >>/etc/md5db 拥有帝国一切，皆有可能。欢迎访问phome.net执行这个脚本后 上述的文件的MD5值就放入/etc/md5db这个文件中了,象下面这样 [linux@/etc]# cat md5db fa25ad401b9f8e458cc0516c289eb529 /etc/passwd 18f64e8dd87461f0208bccf264a00711 /etc/shadow 6f60617c12e3d1a9599c488dc5335b82 /etc/group 673f2fbc91f3421eb560f0a0d8858262 /usr/bin/passwd 80b3985cea8473846532824052964824 /sbin/portmap ed78748061c05d2263baf43c6a2e400f /bin/login 774cb14b70080573906bbd26df7a9c58 /bin/ls 8cc6f96d1bd21250b731eb0ac85214a7 /bin/ps bc1694cc57b8b5633680d57885393e19 /usr/bin/top 把/etc/md5db这个文件备份到另一个计算机中,以后发现终点 比对两个文件就是了 注意 如果你自己修改了密码 上面的有些文件的MD5值也会发生变化,那你就要重新 运行这个脚本来获得新的MD5值了. 拥有帝国一切，皆有可能。欢迎访问phome.net |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
你可能对下面的文章感兴趣
上一篇: paste命令，合并多个文件的“同行数据”下一篇: vi文件保存退出命令
关于Linux下使用md5sum查看文件及程序是否被修改的所有评论
