怎样检测centos exploit

在 CentOS（以及一般 Linux 系统）上“检测 exploit（漏洞利用/入侵行为）”通常包含系统安全检测、漏洞扫描、入侵痕迹排查三个层面。下面按实用顺序给你一套可操作的方法。

一、先做基础安全检查（快速判断是否被入侵）

1. 查看系统用户和权限异常

cat /etc/passwd
cat /etc/shadow

重点关注：

是否有未知用户
是否有 UID=0 的非 root 用户

awk -F: '$3==0 {print $1}' /etc/passwd

2. 检查当前登录和近期登录

who
w
last
lastlog

异常：

陌生 IP
非工作时间登录

3. 检查可疑进程

top
ps -ef

重点看：

高 CPU / 内存
名字像随机字符串
隐藏进程（对比 ps 和 /proc）

ls /proc | sort -n > proc.txt
ps -eo pid | sort -n > ps.txt
diff proc.txt ps.txt

二、检测是否存在 Exploit 利用痕迹

1. 检查可疑文件和执行痕迹

find / -perm -4000 -type f 2>/dev/null

看是否有异常 SUID 文件（常见提权 exploit）

ls -la /tmp /var/tmp /dev/shm

exploit 常放这里

2. 检查 cron / systemd 后门

crontab -l
ls -la /etc/cron*
systemctl list-unit-files

异常服务、定时任务要重点看

3. 检查网络连接

netstat -antup
ss -antup

关注：

外连未知 IP
监听异常端口

三、使用工具做漏洞与入侵检测（推荐）

1. 系统漏洞扫描（检测“可被 exploit 的漏洞”）

yum install -y yum-utils
yum updateinfo list security

或：

yum update --security

2. 使用 Lynis（强烈推荐）

yum install epel-release -y
yum install lynis -y
lynis audit system

会给出：

漏洞风险
exploit 风险点
加固建议

3. 使用 rkhunter（检测 rootkit / exploit 后门）

yum install rkhunter -y
rkhunter --check

4. 使用 chkrootkit

yum install chkrootkit -y
chkrootkit

四、日志分析（非常关键）

1. 安全日志

/var/log/secure
/var/log/messages
/var/log/audit/audit.log

看：

暴力破解
提权
异常命令执行

grep -i "failed" /var/log/secure

五、针对“CentOS 常见 exploit”的专项检查

常见方向：

Dirty COW（CVE-2016-5195）
Polkit pkexec（CVE-2021-4034）
Kernel 本地提权
Redis / SSH / SMB 利用

可检查内核版本：

uname -a

对照 CVE 判断是否落后

六、如果你怀疑已经被 exploit 了

建议：

断网
备份关键日志
用干净系统重装
修复漏洞后再上线

七、我可以继续帮你做的事

如果你愿意，可以告诉我：

CentOS 版本（cat /etc/centos-release）
是服务器还是虚拟机
你怀疑哪种 exploit（提权 / Web / SSH）

我可以直接给你针对性检测命令或排查清单。