找出rootkit的首個竅門是執行ps命令。有可能對你來說一切都看來很正常。圖示是乙個ps命令輸出的例子。真正的問題是，「真的一切都正常嗎？」黑客常用的乙個詭計就是把ps命令替換掉，而這個替換上的ps將不會顯示那些正在你的機器上執行的非法程式。為了測試個，應該檢查你的ps檔案的大小，它通常位於/bin/ps。在我們的linux作業系統機器裡它大概有60kb。我最近遇到乙個被rootkit替換的ps程式，這個東西只有大約12kb的大小。
另乙個明顯的**是把root的命令歷史記錄檔案鏈結到/dev/null。這個命令歷史記錄檔案是用來跟蹤和記錄乙個使用者在登入上一台linux機器後所用過的命令的。黑客們把你的歷史紀錄檔案重定向到/dev/null的目的在於使你不能看到他們曾經輸入過的命令。
你可以通過在shell提示符下敲入history來訪問你的歷史記錄檔案。假如你發現自己正在使用history命令，而它並沒有出現在之前使用過的命令列表裡，你要看一看你的~/.bash_history檔案。假如這個檔案是空的，就執行乙個ls-l~/.bash_history命令。在你執行了上述的命令後你將看到類似以下的輸出：
-rw------- 1 jd jd 13829 oct 10 17：06 /home/jd/.bash_history
又或者，你可能會看到類似以下的輸出：lrwxrwxrwx 1 jd jd 9 oct 1019：40/home/jd/.bash_history -> /dev/null
假如你看到的是第二種，就表明這個。bash_history檔案已經被重定向到/dev/null。這是乙個致命的資訊，現在就立即把你的機器從internet上斷掉，盡可能備份你的資料，並且開始重新安裝系統。
解決linux作業系統伺服器被黑，需要尋找未知的使用者賬號：
grep ：x：0： /etc/passwd
只有一行，我再強調一遍，在乙個標準的linux安裝裡，grep命令應該只返回一行，類似以下：
root：x：0：0：root：/root：/bin/bash
假如在敲入之前的grep命令後你的系統返回的結果不止一行，那可能就有問題了。應該只有乙個使用者的uid為0，而如果grep命令的返回結果超過一行，那就表示不止乙個使用者。認真來說，雖然對於發現黑客行為，以上都是一些很好的基本方法。但這些技巧本身並不能構成足夠的安全性，而且其深度和廣度和在文章頭提到的入侵檢測系統比起來也差得遠。
提公升Linux帳號安全策略
先來了解一下 etc shadow 的格式 root localhost cat etc shadow grep yejr yejr 1 e0l45ajc b3pfnfsksxrfpi9apj8ms1 13746 0 99999 7 類似 etc passwd，etc shadow 檔的每乙個欄位也...
Linux 使用者密碼安全策略
一 etc login.defs檔案 pass max days 90 密碼最大有效期，此處引數pass max days為90，表示90天後，密碼會過期。99999表示永不過期。pass min days 10 兩次修改密碼的最小間隔時間，0表示可以隨時修改賬號密碼 pass min len 8 ...
redis的安全策略
1.安裝的時候使用非root賬號安裝 在linux上為redis單獨建乙個使用者，root,zhangsan,mysql.然後使用建好的這個使用者登入linux，然後進行安裝和啟動。好處就是一些需要root使用者操作的許可權進行了必要的限制。2.為redis增加乙個訪問密碼 第480行redis.c...