Linux应急响应脚本--Whoamifuck

• Linux应急响应综合工具--LinIR

• Linux应急响应综合工具--Linux_safescan

• Linux应急响应综合工具--LovelyERes

• Golin：Windows应急响应综合工具

已涉及的脚本：

• Whoamifuck

项目

• 项目地址：https://github.com/enomothem/Whoamifuck

• 建议使用root权限

目前支持的功能

• 系统版本信息

• 历史命令信息

• 开启服务信息

• 进程分析信息

• 用户信息排查

• 文件状态信息

• 计划任务信息

• 开启端口信息

• 系统状态监控

• 分析站点日志

• 支持基线检查

• 挖矿病毒查杀

• 常见漏洞自查

• 后门文件查杀

• 僵尸进程清理

• 站点存活探测

• 开机自启动项

• 攻击痕迹发现

• 定时运行任务

• 软链后门检查

• 环境变量后门

• 常见格式报告

• 高可扩展命令

• 远程风险专项

• 查找webshell

• 信使邮件通知

参数

快速检查：

• -u --user-device：检查设备信息

• -l --login [文件路径]：查看用户登录日志 [默认路径：/var/log/secure；/var/log/auth.log]

• -n --nomal：普通格式输出

• -a --all：完整输出

专项检查：

• -x --proc-serv：查看服务与进程信息

• -p --port：查看端口信息

• -s --os-status：查看系统状态信息

风险检测：

• -b --baseline：安全基线核查

• -r --risk：检测系统漏洞

• 未授权则表示未开启密码机制

• 如开启密码机制，会将找到的密码与弱口令字典TOP20进行匹配，如找到则显示出来，否则显示*****

• -k --rookitcheck：检测系统 Rootkit（后门 / 木马）

• -w --webshell [路径]：查找 Webshell 文件 [默认路径：/var/www/；/www/wwwroot/ 等]

• 目前仅支持PHP和JSP

其他功能：

• -c --code [URL | 文件]：HTTP 状态码扫描，只是检测页面是否存活（先使用 -p参数扫出路径，其实-p参数就能看出是否存活）

• -i --sqletlog [文件]：日志分析 ——SQL 注入专项分析

• -e --auto-run [0-23 0-59|c]：添加到定时任务（crontab）定期执行 [默认配置：~/.whok/chief-inspector.conf]

./whoamifuck -e [0-23]  # 填入0到23其中一个时间点，默认为0时./whoamifuck -e c	# 清空所有whoamifuck定时任务

• -z --ext [路径]：自定义命令配置检测 [默认配置：./.whok/chief-inspector.conf，但需要自己创建，目录无所谓]

• 可自己DIY应急响应命令

格式：EXT="true"commands=(    "who;当前用户信息"    "ifconfig;路由信息")

输出方式：

• -o --output [文件名]：输出到文件

• -m --html [文件名]：输出为 HTML 格式文件