Linux 伺服器入侵偵測實戰指南：從 Rootkit 到帳號異常全面排查

前言：腳本小子雖技術淺薄，危害卻不容小覷

所謂「腳本小子」多半缺乏深厚技術功底，但他們善用現成工具掃描漏洞、植入 Rootkit，一旦得手便會佔用 CPU、記憶體、頻寬與儲存空間。若您已套用所有修補程式、部署防火牆與入侵偵測系統，仍可能因疏忽（如未更新 BIND）而遭入侵。本文將帶您掌握實用排查技巧，快速判斷 Linux 主機是否已被植入後門。

什麼是 Rootkit？為何一旦中招極難復原？

Rootkit 是駭客用來取得系統 Root 權限的工具包。一旦攻擊者以 Root 身分控制主機，系統完整性已徹底失效。此時唯一可靠的應對是：立即備份關鍵資料、抹除硬碟、重灌作業系統。任何嘗試「清理」受感染系統的行為，都可能遺漏隱藏後門，導致二度入侵。

核心排查三步驟

1. 驗證 ps 指令是否被替換

駭客常替換 /bin/ps，使惡意程序不出現在進程列表中。正常 ps 執行檔約 60 KB；若發現僅 12 KB 左右，極大機率已被 Rootkit 置換。

ls -l /bin/ps

若檔案大小異常，請立即離線處理。

2. 檢查 .bash_history 是否導向 /dev/null

駭客為隱藏操作紀錄，常將歷史檔連結至 /dev/null。執行以下指令檢查：

ls -l ~/.bash_history

• 正常輸出：-rw------- 1 user user 13829 Oct 10 17:06 /home/user/.bash_history
• 異常輸出：lrwxrwxrwx 1 user user 9 Oct 10 19:40 /home/user/.bash_history -> /dev/null

若出現第二種情況，表示歷史紀錄已被竄改，請立即斷網、備份、重灌。

3. 掃描 UID 為 0 的未知帳號

標準 Linux 僅應有一個 UID 0 的 root 帳號。執行：

grep :x:0: /etc/passwd

若回傳超過一行，代表存在未授權的超級使用者帳號，系統極可能已被完全控制。

總結與建議

上述方法屬基礎排查，無法替代完整的入侵偵測系統（IDS）與定期滲透測試。建議部署 AIDE、Tripwire 等檔案完整性監控工具，並啟用審計子系統，才能構建纵深防禦體系。