LinuxCheck

Outil de réponse aux incidents Linux, de collecte d'informations et de détection de vulnérabilités. Prend en charge plus de 70 vérifications dans 13 catégories, notamment la configuration de base, le trafic réseau, les tâches planifiées, les variables d'environnement, les informations utilisateur, les services, bash, les fichiers malveillants, les rootkits du noyau, SSH, les webshells, les fichiers de minage, les processus de minage, la chaîne d'approvisionnement, les risques serveur, etc.

Mises à jour

Journal des modifications : 20 avril 2024

• Ajustement de la sortie au format Markdown
• Abandon d'ag, retour à la commande native grep de Linux pour éviter une installation supplémentaire
• Optimisation du format du code, plus besoin de tee -a pour chaque ligne
• Mise à jour de la logique de détection des webshells
• Mise à jour de la logique de détection des authorized_keys
• Ajout de la vérification JDWP et Python HTTP Server dans la vérification des risques serveur
• Ajout de la détection des conteneurs Docker
• Ajout de la détection des backdoors PAM
• Ajout de la capacité de téléchargement local des rapports pour gérer les situations d'urgence sur des machines en lots.

Journal des modifications : 05 août 2022

• Correction du problème de saturation des logs lors de la vérification des modules du noyau

Journal des modifications : 07 mars 2022

• Ajout de la détection des backdoors via liens symboliques SSH

Date de mise à jour : 17 octobre 2021

• Ajout de la détection des chevaux de Troie de minage Ntpclient, WorkMiner, TeamTNT
• Ajout de la logique de détection des modules Rootkit
• Ajout de la détection d'empoisonnement via Python pip
• Ajout de la vérification de $HOME/.profile
• Ajout de la vérification des risques serveur (Redis)

Fonctionnalités

• Vérification de la configuration de base
  • Vérification des modifications de configuration système
  • Informations système (adresse IP/utilisateur/temps de démarrage/version système/hostname/SN du serveur)
  • Utilisation du CPU
  • Informations sur les utilisateurs connectés
  • TOP 15 CPU
  • TOP 15 mémoire
  • Vérification de l'espace disque restant
  • Montage des disques durs
  • Vérification des logiciels courants
  • /etc/hots
• Vérification réseau/trafic
  • ifconfig
  • Trafic réseau
  • Écoute des ports
  • Ports ouverts à l'extérieur
  • Connexions réseau
  • État des connexions TCP
  • Table de routage
  • Transfert de routage
  • Serveur DNS
  • ARP
  • Vérification du mode promiscuité de la carte réseau
  • Pare-feu iptables
• Vérification des tâches planifiées
  • Tâches planifiées de l'utilisateur actuel
  • Tâches planifiées système /etc
  • Date de création des fichiers de tâches planifiées
  • Recherche de backdoors dans crontab
• Vérification des variables d'environnement
  • env
  • path
  • LD_PRELOAD
  • LD_ELF_PRELOAD
  • LD_AOUT_PRELOAD
  • PROMPT_COMMAND
  • LD_LIBRARY_PATH
  • ld.so.preload
• Vérification des informations utilisateur
  • Utilisateurs pouvant se connecter
  • Date de modification du fichier passwd
  • sudoers
  • Informations de connexion (w/last/lastlog)
  • Historique des adresses IP de connexion
• Vérification des services
  • Services SystemD en cours d'exécution
  • Date de création des services SystemD
• Vérification de bash
  • Historique (history)
  • Audit des commandes history
  • /etc/profile
  • $HOME/.profile
  • /etc/rc.local
  • ~/.bash_profile
  • ~/.bashrc
  • Shells inversés bash
• Vérification des fichiers
  • Fichiers cachés (...)
  • Détection des modifications de fichiers système (mtime)
  • Vérification des fichiers temporaires (/tmp /var/tmp /dev/shm)
  • alias
  • Vérification des permissions spéciales SUID
  • Fichiers de processus introuvables

Utilisation

Première méthode : installation via git clone

git clone https://github.com/al0ne/LinuxCheck.git
chmod u+x LinuxCheck.sh
./LinuxCheck.sh  

Deuxième méthode : appel direct en ligne [L'appel en ligne ne permet pas d'utiliser la fonctionnalité de téléchargement de rapport]

bash -c "$(curl -sSL https://raw.githubusercontent.com/al0ne/LinuxCheck/master/LinuxCheck.sh)"  

Le fichier sera sauvegardé sous le format ipaddr_hostname_username_timestamp.log

Téléchargement automatique des rapports

Pour un déploiement sur plusieurs machines, après exécution du script, le rapport sera automatiquement soumis à une URL. Modifiez webhook_url dans le script avec votre propre adresse.

# 报告上报的地址
webhook_url='http://localhost:5000/upload'

upload_report() {

  # 上传到指定接口
  if [[ -n $webhook_url ]]; then
    curl -X POST -F "file=@$filename" "$webhook_url"
  fi

}

Sur votre serveur, démarrez un service Flask pour recevoir les rapports Markdown envoyés par les serveurs.

from flask import Flask, request

app = Flask(__name__)

@app.route('/upload', methods=['POST'])
def upload_file():
    if 'file' not in request.files:
        return "No file part", 400
    file = request.files['file']
    if file.filename == '':
        return "No selected file", 400
    if file:
        filename = file.filename
        file.save(filename)
        return "File successfully uploaded", 200

if __name__ == '__main__':
    app.run(debug=True, host="0.0.0.0", port=9999)

Références

La rédaction de cet outil s'inspire principalement des outils/articles suivants, combinés à l'expérience personnelle

Linenum https://github.com/lis912/Evaluation_tools
https://ixyzero.com/blog/archives/4.html
https://github.com/T0xst/linux
https://github.com/grayddq/GScan