LinuxCheck
一个linux信息搜集小脚本 主要用于应急响应，在Debian或Centos下都可使用
功能
- CPU TOP10 、内存 TOP10
- CPU使用率
- 开机时间
- 硬盘空间信息
- 用户信息、passwd信息
- 环境变量检测
- 服务列表
- 系统程序改动（debsums -e与rpm -va）
- 网络流量统计
- 网络连接、监听端口
- 对外开放端口
- 路由表信息
- 路由转发
- ARP
- DNS Server
- SSH登陆信息
- SSH登陆IP
- iptables 信息
- SSH key 检测
- SSH 爆破IP
- Crontab 检测
- Crontab 后门检测
- 查找常见配置文件
- 查找常用软件
- 审计history文件
- 查询HOSTS文件
- lsmod 异常内核模块
- 异常文件检测（nc、tunnel、proxy常见黑客工具）
- 大文件检测（打包的一些大文件）
- 剩余空间、硬盘挂载
- 对外开放端口
- LD_PRELOAD 检测
- LD_LIBRARY_PATH
- ld.so.preload
- 网卡混杂模式
- 常用软件
- 近7天改动文件mtime
- 近7天改动文件ctime
- 查看SUID文件
- 查找..隐藏文件
- 查找敏感文件（nc、nmap、tunnel）
- alias别名
- LSOF -L1
- SSHD
- 查找bash反弹shell
- php webshell扫描
- jsp webshell扫描
- asp/aspx webshell扫描
- 挖矿进程检测
- rkhunter 扫描
Usage
联网状态：
- apt-get install silversearcher-ag
- yum -y install the_silver_searcher
离线状态：
- Debian：dpkg -i silversearcher-ag_2.2.0-1+b1_amd64.deb
- Centos：rpm -ivh the_silver_searcher-2.1.0-1.el7.x86_64.rpm
git clone https://github.com/al0ne/LinuxCheck.git
chmod u+x LinuxCheck.sh
./LinuxCheck.sh
如果已经安装了ag和rkhunter可以直接使用以下命令
bash -c "$(curl -sSL https://raw.githubusercontent.com/al0ne/LinuxCheck/master/LinuxCheck.sh)"
文件会保存成ipaddr_hostname_username_timestamp.log 这种格式
参考
Linenum
https://github.com/lis912/Evaluation_tools
https://ixyzero.com/blog/archives/4.html
https://github.com/T0xst/linux
https://github.com/grayddq/GScan