! User 24306 pts/0  grep INFECTED

crontab -e* 5 * * * /usr/local/rkhunter/bin/rkhunter --cronjob -l --nomow --rwo | mail -s "[rkhunter] report `hostname` `date`" root@localhost

# ss -l  列出所有打开的网络连接端口# ss -pl 查看进程使用的socket

　找出与 crypto 与 bash 这两个服务有关的 PID 号码

　ps aux | egrep ‘(cron|syslog)‘

　　lsof filename 　　　　　　　　显示打开指定文件的所有进程　　lsof -a 　　　　　　　　　　　 表示两个参数都必须满足时才显示结果　　lsof -c string 　　　　　　　 显示COMMAND列中包含指定字符的进程所有打开的文件　　lsof -u username 　　　　　　显示所属user进程打开的文件　　lsof -g gid 　　　　　　　　  显示归属gid的进程情况　　lsof +d /DIR/ 　　　　　　　　显示目录下被进程打开的文件　　lsof +D /DIR/ 　　　　　　　  同上，但是会搜索目录下的所有目录，时间相对较长　　lsof -d FD 　　　　　　　　　 显示指定文件描述符的进程　　lsof -n 　　　　　　　　　　　 不将IP转换为hostname，缺省是不加上-n参数　　lsof -i 　　　　　　　　　　　 用以显示符合条件的进程情况

有十几种控制进程的方法，下面是一些常用的方法: kill -STOP [pid] 发送SIGSTOP (17,19,23)停止一个进程，而并不消灭这个进程。 kill -CONT [pid] 发送SIGCONT (19,18,25)重新开始一个停止的进程。 kill -KILL [pid] 发送SIGKILL (9)强迫进程立即停止，并且不实施清理操作。 kill -9 -1 终止你拥有的全部进程。 SIGKILL 和 SIGSTOP 信号不能被捕捉、封锁或者忽略，但是，其它的信号可以。所以这是你的终极武器。

#!/bin/bashPATH=/usr/bin:/binTMPLOG=`mktemp`# Run the chkrootkit/usr/local/chkrootkit/chkrootkit > $TMPLOG# Output the logcat $TMPLOG | logger -t chkrootkit# bindshe of SMTPSllHow to do some wrongsif [ ! -z "$(grep 465 $TMPLOG)" ] && [ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; thensed -i ‘/465/d‘ $TMPLOGfi# If the rootkit have been found,mail root[ ! -z "$(grep INFECTED $TMPLOG)" ] && grep INFECTED $TMPLOG | mail -s "chkrootkit report in `hostname`" rootrm -f $TMPLOG

IPTraf-实时局域网IP监控
Htop – Linux进程监控
VnStat PHP – 网络流量监控
Suricata – 网络安全监控
iotop – 简单的类似top的I/O监控器

#初始化，绑定要监测的网卡的名称，比如eth0vnstat -u -i eth0 vnstat