Linux后门入侵检测方法以及工具

后门程序：rootkit

1. 文件级别

伪装成关键文件，比如login, ls, ps等来获取关键信息，达到获取root密码攻击系统

2.内核级别

伪装成系统内核来攻击，这种方式比较难处理，通常的方式只能是拔网线，重装系统

后门检测工具

1.chkrootkit
http://www.chkrootkit.org
2.RKHunter
http://www.rootkit.nl/projects/rootkit_hunter.html
服务器受攻击后的处理过程

1.切断网络

2.查找攻击源（通关关键的日志进行查看）

/var/log/messages, /var/log/wtmp, /var/log/secure

查找是否有使用nologin的用户登录的进程

3.分析入侵途径和原因

4.备份用户数据

5.重装操作系统

6.修复程序或者系统漏洞

7.恢复数据和连接网络