Linux信息收集詳解

Linux信息收集

本機基本信息

#管理員
$普通用戶
@之前表示登錄的用戶名稱，之后表示主機名，再之后表示當前所在目錄
/表示根目錄
~表示當前用戶家目錄

1、內(nèi)核，操作系統(tǒng)和設(shè)備信息

uname-a打印所有可用的系統(tǒng)信息
uname-r內(nèi)核版本
uname -n 系統(tǒng)主機名。
uname-m查看系統(tǒng)內(nèi)核架構(gòu)（64位/32位）
hostname系統(tǒng)主機名
lsb_release-a發(fā)行版信息
cat/proc/version內(nèi)核信息
cat/etc/*-release發(fā)行版信息
cat/etc/issue發(fā)行版信息
cat/proc/cpuinfoCPU信息

2、用戶和群組

cat/etc/passwd列出系統(tǒng)上的所有用戶
cat/etc/shadow查看用戶Hash
cat/etc/group列出系統(tǒng)上的所有組
groups當前用戶所在的組
groupstesttest用戶所在的組
getentgroupxxxxxx組里的用戶

grep-v-E"^#"/etc/passwd|awk-F:'$3==0{print$1}'列出所有的超級用戶賬戶
awk-F:'length($2)==0{print$1}'/etc/shadow#查看是否存在空口令用戶
awk'/$1|$6/{print$1}'/etc/shadow#查看遠程登錄的賬號

whoami查看當前用戶
w誰目前已登錄，他們正在做什么
who命令用于顯示系統(tǒng)中有哪些使用者正在上面
last最后登錄用戶的列表
lastlog所有用戶上次登錄的信息
lastlog–u%username%有關(guān)指定用戶上次登錄的信息

[^可以看到y(tǒng)okan用戶在sudo組里]:

3、用戶和權(quán)限信息

whoami當前用戶名
id當前用戶信息
cat/etc/sudoers可以使用sudo提升到root的用戶
sudo-l當前用戶可以以root身份執(zhí)行操作

yokan用戶可以以root身份執(zhí)行任意操作

4、環(huán)境信息

env顯示所有的環(huán)境變量
set顯示本地環(huán)境變量
echo$PATH環(huán)境變量中的路徑信息
export[-fnp][變量名稱]=[變量設(shè)置值]顯示和設(shè)置環(huán)境變量
pwd輸出工作目錄
cat/etc/profile顯示默認系統(tǒng)變量
cat/etc/shells顯示可用的shell
ls-la/etc/*.conf查看etc下所有配置文件

5、歷史命令

顯示當前用戶的歷史命令記錄

history
cat~/.bash_history

#查看其他用戶的歷史命令文件
cat/home/user/.bash_history

history顯示內(nèi)存和~/.bash_history中的所有內(nèi)容；內(nèi)存中的內(nèi)容并沒有立刻寫入~/.bash_history，只有當當前shell關(guān)閉時才會將內(nèi)存內(nèi)容寫入shell

6、進程信息

psaux以用戶的格式顯示所有進程,包括非終端的進程
ps-ef顯示所有進程,顯示UID,PPIP(父進程）,C與STIME欄位
ps-ef|grepjava查詢某個應(yīng)用的所有進程信息
top實時顯示占用最多的進程

如果想查看進程的CPU占用率和內(nèi)存占用率，可以使用aux

如果想查看進程的父進程ID和完整的COMMAND命令，可以使用-ef

lsof-c$PID查看進程關(guān)聯(lián)文件
/proc/$PID/cmdline完整命令行信息
/proc/$PID/comm進程的命令名
/proc/$PID/cwd進程當前工作目錄的符號鏈接
/proc/$PID/exe運行程序的符號鏈接
/proc/$PID/environ進程的環(huán)境變量
/proc/$PID/fd進程打開文件的情況

7、服務(wù)信息

cat/etc/services查詢存在的服務(wù)
cat/etc/services|grepJava查詢對應(yīng)的服務(wù)
systemctllist-units--type=service--state=running查詢已經(jīng)開啟的服務(wù)

8、計劃任務(wù)

在Linux系統(tǒng)中，計劃任務(wù)一般是由cron承擔。cron啟動后，它會讀取它的所有配置文件（全局性配置文件/etc/crontab，以及每個用戶的計劃任務(wù)配置文件），然后cron會根據(jù)命令和執(zhí)行時間來按時來調(diào)用工作任務(wù)。

/var/spool/cron/crontabs ：這個目錄以賬號來區(qū)分每個用戶自己的執(zhí)行計劃
/etc/crontab ：系統(tǒng)執(zhí)行計劃，需要在后邊加上用戶格式

所有計劃任務(wù)項：
/var/spool/cron/*
/var/spool/anacron/*
/etc/crontab
/etc/anacrontab
/etc/cron.*
/etc/anacrontab

crontab-l查詢當前用戶所有的計劃任務(wù)
crontab-l-uuser查詢指定用戶的計劃任務(wù)
cat/var/spool/cron/crontabs/root查詢root用戶的計劃任務(wù)

9、網(wǎng)絡(luò)、路由和通信

查詢ip

ifconfig
ipaddr

打印路由信息

route查詢路由表
route-n查詢路由表，以ip地址顯示
netstat-r查詢路由表
ipro

查看系統(tǒng)arp表

arp-a

端口開放情況

netstat-antup所有端口
netstat-antptcp端口
netstat-anupudp端口

查看端口服務(wù)映射

cat/etc/services

列出iptables的配置規(guī)則

iptables-L

顯示網(wǎng)卡信息

netstat-i

dns信息

cat/etc/resolv.conf查看dns配置信息
dnsdomainname-V打印DNS系統(tǒng)中FQDN名稱中的域名
cat/etc/hosts查看hosts域名解析文件

10、已安裝應(yīng)用

rpm-qa--last#Redhat、CentOS
rpm-qapolkit#查看指定應(yīng)用的安裝版本

dpkg-l#ubuntu、debian
dpkg-lpolicykit-1#查看指定應(yīng)用的安裝版本
dpkg-Lxxx#查詢某個軟件所關(guān)聯(lián)的文件

11、查找能寫或執(zhí)行的目錄

find/-writable-typed2>/dev/null
find/-perm-o+w-typed2>/dev/null
find/-perm-o+x-typed2>/dev/null

12、防火墻

iptables-L查看防火墻配置

查看防火墻狀態(tài)：
systemctlstatusfirewalld
serviceiptablesstatus
暫時關(guān)閉防火墻:
systemctlstopfirewalld
serviceiptablesstop
永久關(guān)閉防火墻：
systemctldisablefirewalld
chkconfigiptablesoff
重啟防火墻：
systemctlenablefirewalld
serviceiptablesrestart

13、敏感文件

find命令 -o參數(shù) 表示或者的意思

find/-typef-iname"*.bash_history"-o-iname"*config*"-o-iname"web.xml"-o-iname"*database*"-o-iname"*pass*"2>/dev/null

查找SSH密鑰:

find/-name"id_dsa*"-o-name"id_rsa*"-o-name"known_hosts"-o-name"authorized_hosts"-o-name"authorized_keys"2>/dev/null|xargs-rls

Web應(yīng)用服務(wù)

常見配置文件路徑：

/apache/apache/conf/httpd.conf
/apache/apache2/conf/httpd.conf
/apache/php/php.ini
/bin/php.ini
/etc/apache/apache.conf
/etc/apache/httpd.conf
/etc/apache2/apache.conf
/etc/apache2/httpd.conf
/etc/apache2/sites-available/default
/etc/apache2/vhosts.d/00_default_vhost.conf
/etc/httpd/conf.d/httpd.conf
/etc/httpd/conf.d/php.conf
/etc/httpd/conf/httpd.conf
/etc/httpd/php.ini
/etc/init.d/httpd
/etc/php.ini
/etc/php/apache/php.ini
/etc/php/apache2/php.ini
/etc/php/cgi/php.ini
/etc/php/php.ini
/etc/php/php4/php.ini
/etc/php4.4/fcgi/php.ini
/etc/php4/apache/php.ini
/etc/php4/apache2/php.ini
/etc/php4/cgi/php.ini
/etc/php5/apache/php.ini
/etc/php5/apache2/php.ini
/etc/php5/cgi/php.ini
/etc/phpmyadmin/config.inc.php
/home/apache/conf/httpd.conf
/home/apache2/conf/httpd.conf
/home/bin/stable/apache/php.ini
/home2/bin/stable/apache/php.ini
/NetServer/bin/stable/apache/php.ini
/opt/www/conf/httpd.conf
/opt/xampp/etc/php.ini
/PHP/php.ini
/php/php.ini
/php4/php.ini
/php5/php.ini
/usr/lib/php.ini
/etc/nginx/nginx.conf
/usr/lib/php/php.ini
/usr/local/apache/conf/httpd.conf
/usr/local/apache/conf/php.ini
/usr/local/apache2/conf/httpd.conf
/usr/local/apache2/conf/php.ini
/usr/local/etc/php.ini
/usr/local/httpd/conf/httpd.conf
/usr/local/lib/php.ini
/usr/local/php/lib/php.ini
/usr/local/php4/lib/php.ini
/usr/local/php4/lib/php.ini
/usr/local/php4/php.ini
/usr/local/php5/etc/php.ini
/usr/local/php5/lib/php.ini
/usr/local/php5/php5.ini
/usr/local/share/examples/php/php.ini
/usr/local/share/examples/php4/php.ini
/usr/local/Zend/etc/php.ini
/var/apache2/config.inc
/var/httpd/conf/httpd.conf
/var/httpd/conf/php.ini
/var/httpd/conf/php.ini
/var/local/www/conf/httpd.conf
/var/local/www/conf/php.ini
/var/www/conf/httpd.conf
/web/conf/php.ini
/www/conf/httpd.conf
/www/php/php.ini
/www/php4/php.ini
/www/php5/php.ini
/xampp/apache/bin/php.ini
/xampp/apache/conf/httpd.conf

數(shù)據(jù)庫

/etc/init.d/mysql
/etc/my.cnf
/etc/mysql/my.cnf
/etc/mysql/my.cnf
/var/lib/mysql/my.cnf
/var/lib/mysql/mysql/user.MYD
/usr/local/mysql/bin/mysql
/usr/local/mysql/my.cnf
/usr/share/mysql/my.cnf

自動化腳本

linux_info.sh

#!/bin/bash

#輸出文件
filename=$(date+%s)'.log'

echo"信息收集"
echo-e"
"|tee-a$filename
echo"賬戶信息收集"|tee-a$filename
cat/etc/passwd|tee-a$filename
echo-e"
"|tee-a$filename
echo"shadow"|tee-a$filename
cat/etc/shadow|tee-a$filename
echo-e"
"|tee-a$filename
echo"進程信息收集"|tee-a$filename
psaux|tee-a$filename
echo-e"
"|tee-a$filename
echo"網(wǎng)絡(luò)連接"|tee-a$filename
netstat-antlp|tee-a$filename
echo-e"
"|tee-a$filename
echo"當前用戶:"$(whoami)2>/dev/null|tee-a$filename
echo-e"
"|tee-a$filename
echo"端口監(jiān)聽"|tee-a$filename
netstat-lnpt|tee-a$filename
echo-e"
"|tee-a$filename
echo"可登陸用戶"|tee-a$filename
cat/etc/passwd|grep-E-v'nologin$|false'|tee-a$filename
echo-e"
"|tee-a$filename
echo"增加用戶的日志"|tee-a$filename
grep"useradd"/var/log/secure|tee-a$filename
echo-e"
"|tee-a$filename
echo"History操作提取"|tee-a$filename
cat~/.*history|tee-a$filename
echo-e"
"|tee-a$filename
echo"登錄成功的IP"|tee-a$filename
grep"Accepted"/var/log/secure*|awk'{print$11}'|sort|uniq-c|sort-nr|more|tee-a$filename
echo-e"
"|tee-a$filename
echo"查看路由表"|tee-a$filename
route-n|tee-a$filename
echo-e"
"|tee-a$filename
echo"查看SSHkey"|tee-a$filename
sshkey=${HOME}/.ssh/authorized_keys
if[-e"${sshkey}"];then
cat${sshkey}|tee-a$filename
else
echo-e"SSHkey文件不存在
"|tee-a$filename
fi
echo-e"
"|tee-a$filename
echo"查看known_hosts"|tee-a$filename
cat~/.ssh/known_hosts|tee-a$filename
echo-e"
"|tee-a$filename
echo"查找WEB-INF"|tee-a$filename
find/-name*.properties2>/dev/null|grepWEB-INF|tee-a$filename
echo-e"
"|tee-a$filename
echo"user|pass|pwd|uname|login|db_"|tee-a$filename
find/-name"*.properties"|xargsegrep-i"user|pass|pwd|uname|login|db_"|tee-a$filename
echo-e"
"|tee-a$filename
echo"jdbc:|pass=|passwd="|tee-a$filename
find/-regex".*.properties|.*.conf|.*.config|.*.sh"|xargsgrep-E"=jdbc:|pass=|passwd="|tee-a$filename
echo-e"
"|tee-a$filename
#Authorcances
echo"ip和網(wǎng)卡信息"|tee-a$filename
ipa|awk'{print$2,$4}'|tee-a$filename
echo-e"
"|tee-a$filename
echo"可登陸用戶"|tee-a$filename
cat/etc/passwd|grep-E-v'sync$|halt$|nologin$|false|shutdown'|tee-a$filename
echo-e"
"|tee-a$filename
echo"用戶登陸日志"|tee-a$filename
lastlog|tee-a$filename
echo-e"
"|tee-a$filename
echo"查看hosts"|tee-a$filename
cat/etc/hosts|tee-a$filename
echo-e"
"|tee-a$filename
echo"查看系統(tǒng)版本"|tee-a$filename
cat/etc/*-release|tee-a$filename
echo-e"
"|tee-a$filename
echo"查看內(nèi)核版本"|tee-a$filename
uname-mrs|tee-a$filename

審核編輯：劉清