RCLocals

مستوحى من 'Autoruns' من Sysinternals، يقوم RCLocals بتحليل جميع إمكانيات بدء تشغيل Linux للعثور على الأبواب الخلفية، كما يقوم بالتحقق من سلامة العمليات، وفحص العمليات المحقونة بـ DLL، وأكثر من ذلك بكثير

الأشياء التي يغطيها:

·سرد مفاتيح GPG الموثوقة من قبل النظام

·الحزم المثبتة

·سلامة الملفات

·سلامة العمليات (العمليات والمكتبات المحملة في عملية لا تنتمي إلى أي حزمة مثبتة)

·العمليات ذات الأسماء المزورة (العمليات التي تستخدم prctl() لتغيير أسمائها في /bin/ps)

·إدخالات CRON

·ملفات RC

·ملفات بدء تشغيل نظام X

·وحدات Systemd النشطة

·وحدات الموقت Systemd

·tmpfiles.d

·مستخدمي linger

·مساحات الأسماء المارقة

·تجزئة الثنائيات والمكتبات + البحث في سجل تجزئة البرامج الضارة CYMRU https://team-cymru.com/community-services/mhr/

المتطلبات

Debian/Ubuntu والمشتقات: تثبيت debsums # apt-get install debsums

جميع المنصات: انتبه إلى وحدات Python غير الافتراضية (colorama و DNS)

الاستخدام

الفحص الأساسي (النتائج المشبوهة فقط)

python3 rclocals.py --triage

الفحص التفصيلي الكامل (جميع المعلومات)

python3 rclocals.py --all

تشغيل اختبارات محددة (وحدات فردية):

python3 rclocals.py --test <test_name>

الاختبارات الفردية المتاحة:

TestGPG - فحص مفاتيح GPG والتوقيعات

TestPackages - التحقق من سلامة الحزم المثبتة

TestFileInt - فحص سلامة الملفات والعمليات

TestSpoofed - كشف العمليات ذات الأسماء المزورة

TestCron - تحليل إدخالات cron والمهام

TestRC - فحص ملفات RC للنظام والمستخدم

TestX - فحص ملفات بدء تشغيل نظام X

TestSystemd - فحص وحدات systemd والموقتات

TestTMP - فحص تكوينات tmpfiles.d

TestHash - تجزئة والتحقق من الثنائيات الهامة

TestMount - كشف العمليات ذات التثبيتات الخاصة

أمثلة:

python3 rclocals.py --test TestCron

python3 rclocals.py --test TestHash

Screenshots