grep -v "^#" /etc/inetd.conf

非必要：portmap, rpc.mountd, rpc.nfsd, smbd, nmbd, automounter, named, lpd, inetd, telnet, rlogin, rexec, ftp, finger, comsat, echo, identd

zz:12345:respawn:/usr/local/sbin/my_daemon

讓 init 重新讀取設定檔

kill -HUP 1

在 init 執行的程式會用 root 執行，可利用 sudo 讓執行者不是 root。

make -j2 bzImage:

find / -perm +6000 -type f -exec ls -ld {} \; > setuid.txt &

刪除 setuid 權限

chmod a-s /usr/bin/[filename]

-perm mode

File's permission bits are exactly mode (octal or symbolic). Since an exact match is required, if you want to use this form for symbolic modes, you may have to specify a rather complex mode string. For example '-perm g=w' will only match files which have mode 0020 (that is, ones for which group write permission is the only permission set). It is more likely that you will want to use the '/' or '-' forms, for example '-perm -g=w', which matches any file with group write permission. See the EXAMPLES section for some illustrative examples.

user machine = (effective_user) command
root ALL=(ALL) ALL
peter ns.oreillynet.com=(bind) /usr/sbin/rndc, /usr/sbin/named
%www-data ALL=(www) ALL

User_Alias ADMINS=a,b,c
Runas_Alias DAEMONS=bind,www,ircd
Host_Alias WEBSERVERS=www.oreilly.com
Cmnd_Alias APACHE=/usr/local/apache/bin/apachectl
ADMINS WEBSERVERS=(DAEMONS) APACHE    # 使用各種 alias

不用輸入密碼

test ALL=(ALL) NOPASSWD: ALL

利用 whois.twnic.net 找出在字典中結尾為 sars 的單字，尚未被註冊的域名，五秒鐘查一個。

  cat /usr/share/dict/words | grep 'sars$' | sed 's/$/.tw/' | 
  while read i; 
  do (whois -h whois.twnic.net $i | grep -qi '^No Found') && echo $i; 
  sleep 5; done

du -cks * | sort -rn

目前啟動的核心

/proc/version

系統記憶體大小

ls -lh /proc/kcore

計算 /proc 下有多少個「數字目錄」，與 ps 取得的比較，若第二個數值大於第一個，表 ps 可能被竄改。

ls -d /proc/* | grep [0-9] | wc -l; ps ax | wc -l

Understanding Rootkits

Scanning for Rootkits

鎖定使用者

passwd -l [username]

更改預設 shell

chsh -s /bin/false [username]

透過 RSA 或 DSA key 驗證身份，成為跳板，將自己機器的 port 8000 forward 到網路上的 HTTP port。

ssh -f -N -L8000:private.intranet.server.com:80 old.server.com

移除 ~userhome/.ssh/authorized_keys*。移除 sudo 權限。刪除 cron、at 排程工作。檢查 public_html。確認 .forward。

刪除該使用者仍在執行的程式

ps auxw | grep -i ^username

找尋該使用者擁有的檔案是否出現在其他地方

find / -user username > ~root/user_files.report

將 test_ssh 壓縮後傳到另一台主機上存成 .tgz 檔案

tar zcvf - test_ssh | ssh hostname.tw " cat > test_cc.sars.tgz"

將本機的 apache 設定檔複製到遠端機器上，並先在遠端機器備份舊設定。-p 參數

tar zcf - /usr/local/apache/ | ssh desthost.tw "cd /usr/local; mv apache apache.bak; tar zpxvf -"

直接遠端還原壓縮檔

ssh fromhost.tw "cat really-big-archive.tgz" | tar zpvxf -

連上 fromhost.tw，將裡面的 frompath 檔案複製到本機的 destpath。–delete 參數表若來源的檔案被刪除，目的地的檔案會跟著刪除。

rsync -ave ssh --delete fromhost.tw:/[frompath] [destpath]
rsync -ave ssh fromhost.tw:/tmp/ /tmp/rsync_test/

若用 crontab 跑，可不使用 -v 參數輸出訊息。

rsync -ae ssh master.machine.com:/usr/local/apache/htdocs/ /usr/local/apache/htdocs/

mkisofs：-r 表將 Unix 檔案系統的特有資訊存在光碟上，又保持 ISO9660 的相容性。

mkisofs -r /home/test/ > /tmp/home.iso

將光碟片製作成 .iso 檔，bs 需要實際測試，找出理想值。

dd if=/dev/cdrom of=image.iso bs=10k

掛載 iso 檔

mount -o loop,ro -t iso9660 ./image.iso /mnt/cdrom

列出所有規則

iptables -L

清空所有過濾規則

iptables -F

允許

iptables -A INPUT -t filter -s 1.2.3.0/24 -j ACCEPT

阻隔

iptables -A INPUT -t filter -s 5.6.7.8 -j DROP

可使用的 port - 22

iptables -A INPUT -t filter -p tcp --dport 22 -j ACCEPT

剩下的都阻隔掉

iptables -A INPUT -t filter -p tcp --syn -j DROP

echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

iptables -t nat -A PREROUTING ! -i eth1 -p tcp --destination-port 3389 -j DNAT --to 192.168.1.5:3389
# eth1 為對內網卡

-n1 每秒更新一次，-d 標出有變動的文字

watch -n1 -d 'ps aux | grep tar'

查詢哪一個行程佔用 /mnt/cdrom

lsof /mnt/cdrom

查詢某 PID 或行程名稱開啟的檔案

lsof -p 345
lsof -c syslogd

查詢已開啟的 socket

lsof -i

取得所有 HTTP GET request

ngrep -q GET -d eth0

bpf filter(Berkeley Packet Filter)

ngrep -qi root@abc.tw port 25

辨識作業系統

nmap -O abc.tw

辨識服務的版本

nmap -sV abc.tw -p 22

apt-get install ntop

開成 daemon，可透過網頁連 port 3000 提供統計資料

ntop -d

產生一對金鑰，途中可考慮要不要輸入 passphrase

ssh-keygen -t rsa

產生公鑰：~/.ssh/id_rsa.pub 和私鑰：~/.ssh/id_rsa，將公鑰放入想要遠端的主機

$ scp ~/.ssh/id_rsa.pub [username]@[server.name]:~/.ssh/
$ ssh [username]@[server.name]
$ cat ~/.ssh/id_rsa >> ~/.ssh/authorized_keys

若私鑰遭竊，別人即可輕易登入。

一個簡單的 ssh-to

#!/bin/sh
ssh `basename $0` $*

$ ln -s ssh-to a.sars.tw
$ ln -s ssh-to b.sars.tw

執行指令即可直接列出遠端主機的狀態

$ ./a.sars.tw uptime

$ eval `ssh-agent`
$ ssh-add

/etc/ssh/ssh_config

ForwardAgent yes

透過 X11 forwardng 執行遠端的程式

修改 sshd_config

X11Forwarding yes

$ ssh -X host

ssh -f -N -L110:mailserver:110 -l user mailserver

movein.sh：(tar 的 -h 表在遠端產生的是普通檔案，而非 link )

#!/bin/sh

if [ -z "$1" ]; then echo "Usage: `basename $0` hostname"
    exit
fi

cd ~/.skel
tar zhcf - . | ssh $1 "tar zpvxf -"

在家目錄下整理需要複製的設定檔

$ mkdir .skel
$ cd .skel
$ ln -s ../.bashrc .bashrc
$ ln -s /etc/vim/vimrc .vimrc
$ mkdir .ssh
$ cd .ssh
$ ln -s ../../.ssh/id_rsa.pub authorized_keys2

rcg 使用 Term::ANSIColor 將符合條件的字串改成特定色彩

less -r 將 ESC sequence 解釋成彩色效果

正規式：

\d+\.\d+\.\d+\.\d+\.    # IP 位址的表示法
^(J|F|M|A|S|O|N|D)\w\w (\d|)\d    # 日期字串
\b\d\d:\d\d:\d\d\b    # 時間字串

IndexOptions FancyIndexing NameWidth=*
IndexOptions FancyIndexing VersionSort HTMLTable NameWidth=*