在CentOS系統上，攻擊者可能會利用各種漏洞進行攻擊，以獲取更高的權限或執行惡意活動。以下是一個CentOS Exploit攻擊案例分析：
事件背景
- 受害服務器：CentOS系統，IP：192.168.226.132，無WEB服務。
- 惡意IP：192.168.226.131。
- 攻擊手段：暴力破解、替換ps命令、留多個后門。
應急響應過程
- 排查網絡連接：
- 發現服務器與惡意IP的6666端口持續連接。
- 使用
netstat -anpt發現異常通信，進程PID號不斷變化。
- 排查歷史命令：
- 查看
/root/.bash_history，發現歷史命令被清空。
- 排查后門賬戶：
- 檢查
/etc/passwd和/etc/shadow，發現wxiaoge賬戶被創建并用于遠程登錄。
- 查看用戶最近登錄情況，確認
wxiaoge賬戶在攻擊時間點登錄服務器。
- 排查crontab后門：
- 查看
/var/spool/cron，發現root賬戶的定時任務每分鐘執行一次/root/shell.elf文件。
- 排查命令被替換：
- 使用
rpm -Vf檢查/usr/bin/ps文件，發現其大小、MD5值和時間發生變化，確認被修改。
- 查看
ps命令內容，發現被修改為執行centos_core.elf文件的后門。
攻擊者通常采取的步驟
- 查找漏洞：通過端口掃描和研究應用程序請求的響應來收集信息。
- 創建相關漏洞利用：針對目標執行即用型代碼以獲得訪問權限。
- 使用漏洞利用：在系統上執行漏洞利用代碼。
- 檢查是否成功利用系統：通過枚舉獲取信息，調整漏洞利用。
- 獲得額外的特權：通過枚舉收集到的每條信息都可用于搜索已知漏洞或系統中的其他條目。
安全建議
- 賬戶安全及權限管理：禁用root以外的超級用戶，刪除不必要的賬號和組，設置強密碼，并定期更新密碼。
- 強化SSH安全：更改SSH默認端口，禁用root登錄，使用密鑰認證。
- 防火墻配置：使用
firewalld或iptables配置防火墻規則，限制對服務器的訪問，只允許必要的端口對外開放。
- 軟件更新：定期更新操作系統和軟件包，以修復已知漏洞和安全問題。
- 用戶權限管理：使用
chmod、chown和setfacl命令來設置文件和目錄的權限，限制對敏感文件和目錄的訪問。
- 安全漏洞修復：定期進行漏洞掃描和評估，及時修復發現的漏洞，保持系統的安全性。
- 數據備份與恢復：建立強大的備份系統，自動備份并安全存儲數據，考慮異地存儲解決方案。
- 加密靜態數據：對靜態敏感數據進行加密，使用LUKS或dm-crypt等解決方案提供磁盤加密。
- 實施雙因素身份驗證：要求用戶在獲得訪問權限前提供兩種形式的身份驗證，如密碼和移動設備或安全令牌。
- 禁用root登錄：限制root訪問，禁用通過SSH直接root登錄，使用
sudo命令執行管理任務。
- 監控系統日志：使用
rsyslog或systemd-journald收集和存儲日志，配置日志輪換防止磁盤空間過滿。
- 采用入侵檢測系統：部署IDS如Snort或Suricata，監視網絡流量和系統活動，發現可疑行為時提供實時警報。
通過上述措施，可以顯著提高CentOS服務器的安全性，減少受到攻擊的風險。
