一、概述
簡介
中文名叫”Rootkit獵手”,
rkhunter是Linux系統平臺下的一款開源入侵檢測工具，具有非常全面的掃描範圍，除了能夠檢測各種已知的rootkit特徵碼以外，還支持端口掃描、常用程序文件的變動情況檢查。
rkhunter的官方網站位於http://www.rootkit.nl/，注意：官網不能直接打開，必須要能訪問谷歌才行。
目前最新的版本是rkhunter-1.4.6。
源碼下載鏈接：
http://jaist.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz
rootkit是什麼？
rootkit是Linux平臺下最常見的一種木馬後門工具，它主要通過替換系統文件來達到入侵和和隱蔽的目的，這種木馬比普通木馬後門更加危險和隱蔽，普通的檢測工具和檢查手段很難發現這種木馬。rootkit攻擊能力極強，對系統的危害很大，它通過一套工具來建立後門和隱藏行跡，從而讓攻擊者保住權限，以使它在任何時候都可以使用root 權限登錄到系統。
rootkit主要有兩種類型：文件級別和內核級別。
文件級別的rootkit: 一般是通過程序漏洞或者系統漏洞進入系統後，通過修改系統的重要文件來達到隱藏自己的目的。在系統遭受rootkit攻擊後，合法的文件被木馬程序替代，變成了外殼程序，而其內部是隱藏着的後門程序。通常容易被rootkit替換的系統程序有login、ls、ps、ifconfig、du、find、netstat等。文件級別的rootkit，對系統維護很大，目前最有效的防禦方法是定期對系統重要文件的完整性進行檢查，如Tripwire、aide等。
內核級rootkit: 是比文件級rootkit更高級的一種入侵方式，它可以使攻擊者獲得對系統底層的完全控制權，此時攻擊者可以修改系統內核，進而截獲運行程序向內核提交的命令，並將其重定向到入侵者所選擇的程序並運行此程序。內核級rootkit主要依附在內核上，它並不對系統文件做任何修改。以防範
爲主。
二、安裝rkhunter
環境說明
操作系統：centos 6.9
目前有一臺服務器，負載比較高，cpu使用率爲：85%。
使用top查看進程，發現最高的進程，在1%左右。一直不明白，爲何負載如此之高，懷疑中了木馬程序。
安裝
直接yum安裝
yum install -y rkhunter
在線升級rkhunter
rkhunter是通過一個含有rootkit名字的數據庫來檢測系統的rootkits漏洞, 所以經常更新該數據庫非常重要, 你可以通過下面命令來更新該數據庫:
rkhunter --update
爲基本系統程序建立校對樣本，建議系統安裝完成後就建立
rkhunter --propupd
運行rkhunter檢查系統
它主要執行下面一系列的測試:
1. MD5校驗測試, 檢測任何文件是否改動.
2. 檢測rootkits使用的二進制和系統工具文件.
3. 檢測特洛伊木馬程序的特徵碼.
4. 檢測大多常用程序的文件異常屬性.
5. 執行一些系統相關的測試 - 因爲rootkit hunter可支持多個系統平臺.
6. 掃描任何混雜模式下的接口和後門程序常用的端口.
7. 檢測如/etc/rc.d/目錄下的所有配置文件, 日誌文件, 任何異常的隱藏文件等等. 例如, 在檢測/dev/.udev和/etc/.pwd.lock文件時候, 我的系統被警告.
8. 對一些使用常用端口的應用程序進行版本測試. 如: Apache Web Server, Procmail等.
如果您不想要每個部分都以 Enter 來繼續，想要讓程序自動持續執行，可以使用：
rkhunter --check --sk
輸出如下：
[ Rootkit Hunter version 1.4.6 ] ... /sbin/chkconfig [ OK ] /sbin/depmod [ OK ] ... /bin/chown [ Warning ] ... /bin/date [ Warning ] ... /usr/bin/top [ Warning ] ... /usr/bin/vmstat [ Warning ] ... System checks summary ===================== File properties checks... Files checked: 134 Suspect files: 4 Rootkit checks... Rootkits checked : 502 Possible rootkits: 0 Applications checks... All checks skipped The system checks took: 1 minute and 57 seconds All results have been written to the log file: /var/log/rkhunter/rkhunter.log One or more warnings have been found while checking the system. Please check the log file (/var/log/rkhunter/rkhunter.log)
從以上信息可以看出，已經有4個系統命令，被串改了。
三、一些解決思路
如果您的系統經過 rkhunter 的檢測之後，卻發現很多的『紅字』時，該怎麼辦？很簡單， 可以參考這個網頁提供的方法：
http://www.rootkit.nl/articles/rootkit_hunter_faq.html
基本上，官方網站與一般網管老手的建議都一樣，如果被 rootkit 之類的程序包攻擊後 ( 也就是上一節的檢測表中的第二部分所攻擊時 )，那麼最好最好直接重新安裝系統， 不要存在說可以移除 rootkit 或者木馬程序的幻想，因爲，『隱藏』本來就是 rootkit 與木馬程序的拿手好戲！ 我們不知道到底這個 rootkit 或者木馬程序有多剽悍，爲了保險起見，還是重灌系統吧！如何重灌？簡單的說：
1.將原主機的網絡線拔除；
2.備份您的數據，最好備份成兩部分，一部份是全部的系統內容，越詳盡越好，包括 binary files 與 logfile 等等， 至於另一部份則可以考慮僅備份重要的數據文件即可！
3.將上個步驟的數據備份(僅重要數據部分！)進行整體的檢查，察看是否有怪異的數據存在(這部分可能會花去不少時間！)
4.重新安裝一部完整的系統，這包括：
o僅安裝需要的套件在服務器上面；
o先進行 簡單的防火牆 設定後才進行聯機；
o以 APT/YUM 之類的工具進行在線更新；
o執行類似 rkhunter/nessus 之類的軟件，檢驗系統是否處在較爲安全的狀態
5.將原本的重要數據移動至上個步驟安裝好的系統當中，並啓動原本服務器上面的各項服務；
6.以 rkhunter/nessus 之類的軟件檢驗系統是否處在較爲安全的環境，並且加強防火牆的機制！
7.最後，將原本完整備份的數據拿出來進行分析，尤其是 logfile 部分，試圖找出 cracker 是藉由那個服務？那個時間點？ 以那個遠程 IP 聯機進入本機等等的信息，並針對該信息研擬預防的方法，並應用在已經運作的機器上。
所以，只有重新安裝系統，服務重新部署纔是最妥當的辦法。
本文參考鏈接：
https://www.cnblogs.com/cp-miao/p/6141025.html
