ps netstat top .....
由于這些經過文件已經被取代。所以簡單的利用ls命令查看這些文件是看不出什么破綻的。有若干種方法你可以驗證系統文件的完整性。如果你安裝的是Red Hat, Caldera,TurboLinux或任何使用RPM的系統。你可以利用RPM來驗證系統文件的完整性： 首先你應該查明你的那些你需要查看的文件來自哪個軟件包，使用rpm命令你可以查明某個文件屬于某個包： # rpm -qf /bin/netstat net-tools-1.51-3 然后，可以掃描
整個rpm包來查看那些發生了改變。對沒有發生改變的包使用該命令將沒有任何輸出信息，如下所示：
# rpm -V net-tools
將netstat的5.2版本的二進制可執行文件替換為6.0的版本以后再使用該命令的結果為：
.......T /bin/netstat
這說明/bin/netstat/文件已經被修改。若我使用rpm-qf測試ps和top命令可以得到其屬于包procps，然后再驗證包procps的完整性。下面是一個被"黑"的站點的結果：
|
攻擊者入侵到系統中，并且用自己的ps及top命令替代了我們系統中的命令。從而使管理員看不到其運行的進程，也許是一個sniffer來監聽所有的用戶所有進出網絡的數據并找尋到密碼信息。
下面是一個小的script來掃描你系統的所有的rpm庫，并檢查所有的包是否被篡改。但是應該注意的是并不是所有該scripts
報告的問題都是說明該系統文件被攻擊者破壞。例如你的password文件一般肯定和你安裝系統時是不同的：
|
當你運行該scripts時，輸出被定向到文件/tmp/rpmverify.out你可以使用less命令查看該文件。但是由于文本文
如：/etc/passwd, /etc/inetd.conf等很可能顯示為被修改過。但是你如何知道這些是管理員自己修改的還是入侵者修改的呢？方法是：
在你確保你的系統是干凈的，沒有被攻擊者入侵時，你為這些系統文件創建指紋信息。在你懷疑你的系統被入侵時使用這些這些指紋信息來判定系統是否被入侵。創建文件的指紋信息是通過命令md5sum 來實現的：
|
這些數據是我的系統上的文件的指紋信息。不同的系統上的文件的 指紋信息一般是不同的，你應該是使用md5sum來計算自己系統文件的指紋信息。下面是一些你應該創建指紋信息的文件；
/usr/bin/passwd /sbin/portmap /bin/login /bin/ls /usr/bin/top /etc/inetd.conf /etc/services通過指紋信息你可以決定是否有系統文件被篡改。
文章來源于領測軟件測試網 http://www.kjueaiud.com/
