如何判斷 Linux 系統是否被入侵：Rootkit 偵測與應對

所謂「腳本小子」雖技術淺薄，若系統未打補丁、防火牆未啟用、入侵偵測系統未部署，極易得逞。一旦駭客取得 root 權限並植入 Rootkit，系統已不可信任，唯一徹底解法是備份資料、重灌系統。

核心偵測技巧

1. 驗證 ps 指令完整性

Rootkit 常替換 /bin/ps 隱藏惡意程序。正常 ps 約 60 KB，若發現僅 12 KB 極可能被替換。對比已知良好備份或 RPM 資料庫驗證（rpm -V procps）。

2. 檢查歷史指令記錄異常

駭常將 ~/.bash_history 連結至 /dev/null 隱藏行蹤。執行 history 若不顯示自身，再查 ls -l ~/.bash_history：

-rw------- 1 user user 13829 ... 正常
lrwxrwxrwx 1 user user 9 ... /home/user/.bash_history -> /dev/null  被竄改

若為後者，立即斷網、備份資料、重灌系統。

3. 掃描異常 UID 0 帳號

執行 grep :x:0: /etc/passwd，標準安裝僅應回傳一行：

root:x:0:0:root:/root:/bin/bash

若出現多行，表示有其他帳號擁有 root 權限，極可能被植入後門。

進階建議

• 部署完整入侵偵測系統（如 AIDE、Tripwire、Snort）。
• 定期離線備份關鍵二進位檔（/bin、/sbin、/usr/bin）校驗碼。
• 懷疑被入侵時，請專業安全人員協助，自行清理極難徹底。