企业Shell面试题14：开发脚本入侵检测与报警案例

面试及实战考试题：监控web站点目录（/var/html/www）下所有文件是否被恶意篡改（文件内容被改了），如果有就打印改动的文件名（发邮件），定时任务每3分钟执行一次。

1.1问题分析

1）首先要说明的是，思考过程的积累比实际代码开发的能力积累更重要。
2）什么是恶意篡改，只要是未经过许可的改动都是篡改。
3）文件内容被改动了会有如下特征。
◎ 大小可能会变化◎ 修改时间会变化◎ 文件内容会变化，利用md5sum指纹校验◎ 增加或删除文件，比对每次检测前后的文件数量。

1.2参考解答

本题主要采用md5sum的方法来实现。
第一步，在企业网站发布代码之后，即对所有网站数据建立初始指纹库和文件库，这个步骤很重要，没有基础的指纹库，无法进行入侵检测。
以/var/html/www作为站点目录为例。
1）建立测试数据：
[root@web01 scripts]# mkdir /var/html/www -p #<==创建站点目录。
[root@web01 scripts]# cp -a /etc/a* /var/html/www #<==复制少量测试数据。
[root@web01 scripts]# cp -a /etc/b* /var/html/www #<==复制少量测试数据。
[root@web01 scripts]# ls /var/html/www #<==检查。
abrt acpi adjtime aliases aliases.db alsa alternatives anacrontab asound.conf at.deny audisp audit bash_completion.d bashrc blkid
2）建立初始的文件指纹库：
[root@web01 scripts]# find /var/html/www -type f|xargs md5sum >/opt/zhiwen.db.ori
<==建立文件内容指纹库。
[root@web01 scripts]# tail /opt/zhiwen.db.ori
68b329da9893e34099c7d8ad5cb9c940 /var/html/www/at.deny
e5d91bca71662d7c09bc7fc731ad3222 /var/html/www/adjtime
8241db83d5edf01c71734e41e383e205 /var/html/www/anacrontab
c23a47aca3ec55122b8871c5a61494b5 /var/html/www/abrt/abrt-action-save-package-data.conf
9cd848af905b767fa410070b265a70c7 /var/html/www/abrt/gpg_keys
b6bcc3a178b9442d30d88444a9311769 /var/html/www/abrt/abrt.conf
441645d0e419c1f593694ca014817ee1 /var/html/www/abrt/plugins/CCpp.conf
1ecf30990ac5948a8e3bd7b8c1cd944f /var/html/www/abrt/plugins/python.conf
1e4aded98bb1ff08094c8dfb09d33192 /var/html/www/abrt/plugins/oops.conf
b2a676d524cb2d46eccc00baadfbfe29 /var/html/www/aliases.db
3）建立初始的文件库：
[root@web01 scripts]# find /var/html/www -type f>/opt/wenjian.db.ori
#<==建立文件数量和名字库。
[root@web01 scripts]# tail /opt/wenjian.db.ori
/var/html/www/at.deny
/var/html/www/adjtime
/var/html/www/anacrontab
/var/html/www/abrt/abrt-action-save-package-data.conf
/var/html/www/abrt/gpg_keys
/var/html/www/abrt/abrt.conf
/var/html/www/abrt/plugins/CCpp.conf
/var/html/www/abrt/plugins/python.conf
/var/html/www/abrt/plugins/oops.conf
/var/html/www/aliases.db
第二步，检测文件内容和文件数量变化。
1）检测文件内容变化：
[root@web01 scripts]# echo oldboy>>/var/html/www/audisp/plugins.d/af_unix.conf #<==篡改文件。
[root@web01 scripts]# export #<==调整字符集。
[root@web01 scripts]# md5sum -c --quiet/opt/zhiwen.db.ori
#<==检查所有文件的内容是否变化。
/var/html/www/audisp/plugins.d/af_unix.conf: FAILED #<==变化的会被打印出来。
md5sum: WARNING: 1 of 29 computed checksums did NOTmatch #<==综合提示。
2）检测文件数量变化：
[root@web01 scripts]# echo oldgirl.txt>/var/html/www/test.txt
#<==模拟增加新文件。
[root@web01 scripts]# md5sum -c --quiet/opt/zhiwen.db.ori
#<==利用指纹库无法检测新增文件。
/var/html/www/audisp/plugins.d/af_unix.conf: FAILED
md5sum: WARNING: 1 of 29 computed checksums did NOT match
[root@web01 scripts]# find /var/html/www -type f>/opt/wenjian.db_curr.ori
#<==获取检测前的所有文件数量及文件名。
[root@web01 scripts]# diff /opt/wenjian.db* #<==采用diff命令比较。
20d19
< /var/html/www/test.txt #<==test.txt就是新增的，怎么样，还可以吧。
第三步，开发检查指纹识别脚本。
首先，人工做如下操作：
[root@web01 scripts]# find /var/html/www -type f |xargs md5sum>/opt/zhiwen.db.ori
[root@web01 scripts]# find /var/html/www -type f>/opt/wenjian.db.ori
脚本检测会以上述两个命令获取的结果为原始的正确依据，如下
[root@web01 scripts]# cat 30-14.sh
#!/bin/bash
RETVAL=0 #<==状态初始化。
export #<==调整字符集。
CHECK_DIR=/var/html/www #<==定义要监测得站点目录。
[ -e $CHECK_DIR ] || exit 1 #<==如果目录不存在则退出脚本。

ZhiWenDbOri="/opt/zhiwen.db.ori" #<==定义原始指纹库路径。
FileCountDbOri="/opt/wenjian.db.ori" #<==定义原始文件库路径。
ErrLog="/opt/err.log" #<==定义检测后的内容日志。

[ -e $ZhiWenDbOri ] || exit 2 #<==如果原始指纹库不存在则退出脚本。
[ -e $FileCountDbOri ] || exit 3 #<==如果原始文件库不存在则退出脚本。

#judge file contet
echo "[root@oldboy scripts]# md5sum -c --quit/opt/zhiwen.db.ori">$ErrLog #<==打印检测命令。
md5sum -c --quiet /opt/wenjian.db.ori &>>$ErrLog #<==实际执行检测命令。
RETVAL=$? #<==收集返回值。

#com file count
find $CHECK_DIR -type f >/opt/wenjian.db_curr.ori #<==实际执行检测命令，获取最新文件数量等。

echo "[root@oldboy scripts]# diff /opt/wenjian.db*"&>>$ErrLog #<==打印检测命令。
diff /opt/wenjian.db* &>>$ErrLog #<==实际执行检测命令，比对文件数量及文件名变化情况。

if [ $RETVAL -ne 0 -o `diff /opt/wenjian.db*|wc -l`-ne 0 ]
#<==如果返回值不为0，或者比对结果行数不为0，则进入判断。
then
mail -s "`uname -n`$(date +%F) err" 603251522@qq.com <$ErrLog
else
echo "Sites dir isok"|mail -s"`uname -n` $(date +%F) is ok" 603251522@qq.com
fi
mail发送相关配置内容
[root@web01 scripts]# cat /etc/mail.rc
# For Linux and BSD, this should be set. #<==配置文件的最后修改mail内容。
set bsdcompat
set from=15537920814@163.com smtp=smtp.163.com
set smtp-auth-user=15537920814smtp-auth-password=l123456 smtp-auth=login
然后利用定时任务检查，命令如下：
[root@web01 scripts]# crontab -l|tail -2
# ids monitor site dir and file change by oldboy at20170511
*/3 * * * * /bin/sh /server/scripts/30-10.sh>/dev/null 2>&1
现在来思考一下，在企业中一般什么文件需要做指纹验证呢？
系统命令、用户文件、配置文件、启动文件等重要文件，都要监控起来，另外，在实际工作中应对所有的用户操作做日志审计，让所有人的所有操作无处遁形，起到威慑和监督的作用，从而减少被当作“黑锅侠”的风险。