คำสั่งที่จำเป็นสำหรับตรวจสอบระบบ เมื่อพบสิ่งผิดปกติ [Unix OS เท่านั้น] T.h....ai /-\d M I..n

[donnakab]

ท่านใดที่ถูก hack ก่อนตั้งคำถามกรุณาตรวจสอบด้วยตัวเองเบื้องต้น ดังนี้ครับ

1. เข้าไปดู log file ของ apache ครับในนั้นจะมี ip ให้ดูอยู่ และก็ดูว่าก่อน apache จะ down มี ip ไหนข้างบ้าง และเข้าไปที่ file ไหนบ้าง
2. คำสั่ง last เพื่อดูว่ามีใคร login เข้ามาบ้าง ทั้งจาก ssh และ ftp (มี ip ให้เช่นกัน)
3. คำสั่ง dmesg ดูว่ามี error อะไรแปลกๆ บ้าง
4. คำสั่ง netstat -a เพื่อดูว่าขณะนั้นมีใคร connect เข้ามาบ้าง มี port อะไรเปิดอยู่บ้าง
5. คำสั่ง top เพื่อดู process อะไรรันอยู่บ้าง และ process อะไรใช้ CPU high สุดที่เป็นสาเหตุให้เครื่องช้า (แบบ real time)
6. คำสั่ง ps -U root เพื่อดู process ของ root ว่ามี process อะไรแปลกๆ บ้าง

ท่านใดมีอะไรเพิ่มเติมแนะนำได้ครับ


เพิ่มเติม netstat -pan (มี opton -p เพิ่มเข้ามา) จะระบุ PID และ program name ของ port ที่เปิดใช้งานอยู่ด้วp

[newsbot]

แนะนำเพิ่มเติมนิดนึงครับ

- เพื่อความง่ายในการดูผลลัพธ์ของ netstat ให้พืมพ์ว่า netstat -anp ซึ่ง 'p' จะเป็นการเพิ่มว่า process ใดทำงานอยู่ Port ไหน
- เพื่อความมั่นใจสามารถใช้ Tool เหล่านี้ในการค้นหาช่องโหว่

http://freshmeat.net/projects/rkdet/

http://freshmeat.net/projects/rkhunter/

http://freshmeat.net/projects/chkrootkit/

http://freshmeat.net/projects/zeppoo/

- ให้แน่ใจคุณไม่ได้เปิด sudo ให้ execute cmd ใดๆได้โดยไม้ต้องใส่รหัส