一.檢查系統日志
lastb命令檢查系統錯誤登陸日志，統計IP重試次數
二.檢查系統用戶
1、cat /etc/passwd查看是否有異常的系統用戶
2、grep “0” /etc/passwd查看是否產生了新用戶，UID和GID為0的用戶
3、ls -l /etc/passwd查看passwd的修改時間，判斷是否在不知的情況下添加用戶
4、查看是否存在特權用戶awk -F: ‘$3= =0 {print $1}’ /etc/passwd5、查看是否存在空口令帳戶awk -F: ‘length($2)= =0 {print $1}’ /etc/shadow
三.檢查異常進程
1、注意UID為0的進程使用ps -ef命令查看進程
2、察看該進程所打開的端口和文件lsof -p pid命令查看
3、檢查隱藏進程ps -ef | awk ‘{print }’ | sort -n | uniq >1ls /porc |sort -n|uniq >2diff 1 2
四.檢查異常系統文件
find / -uid 0 –perm -4000 –printfind / -size +10000k –printfind / -name “…” –printfind / -name “.. “–printfind / -name “. “ –printfind / -name “ “ –print
五.檢查系統文件完整性
rpm –qf /bin/lsrpm -qf /bin/loginmd5sum –b 文件名md5sum –t 文件名
六.檢查rpm完整性
rpm -Va #注意相關的/sbin,/bin,/usr/sbin,/usr/bin
七.檢查網絡
ip link | grep PROMISC（正常網卡不該在promisc模式，可能存在sniffer）lsof –inetstat –nap（察看不正常打開的TCP/UDP端口)arp –a
八.檢查系統計划任務
crontab –u root –lcat /etc/crontabls /etc/cron.*
九.檢查系統后門
cat /etc/crontabls /var/spool/cron/cat /etc/rc.d/rc.localls /etc/rc.dls /etc/rc3.d
十.檢查系統服務
chkconfig —listrpcinfo -p（查看RPC服務）
十一.檢查rootkit
rkhunter -cchkrootkit -q