特殊情况下，我的 mac 被人运行了一个名叫 a.sh 的脚本，这个脚本已经不在我的电脑上了，如何检测有没有被设置后门？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 2772 天前的主题，其中的信息可能已经有所发展或是发生改变。

我对 mac ／ Linux 不是很熟悉，我自己排查，发现被写入了 .ssh/authorized_keys 在我的目录下

除了这个，不知道如何排查其他的危险项目

除了把电脑抹掉重新恢复

如果要手动排查，需要排查哪些地方

有人知道吗

第 1 条附言 · 2017-05-28 16:41:25 +08:00

情况是，电脑是公司配的，老同事发老个脚本，

帮我运行了，说是安装常用的开发的软件（而我对 mac 不熟悉，就被动的从了），其中就有一行代码，是写入 .ssh/authorized_keys

这个脚本是公司技术总监写的，代码放在公司的 git 里，我对比过了，老同事帮我运行的脚本和公司 git 里的脚本一模一样

那个脚本因为是公司的东西，所以我无法公开发上来给大家观摩，很抱歉

我平时就是写 django 代码和 jquery

如果我抹掉重新装，要装回现在的开发环境，会不会很麻烦

-----------------------------------

我打算先研究下，这个脚本文件里面每个脚本的含义，等我研究完毕，就抹掉系统，按照脚本，手动配置环境，

大家能给一些建议和帮助吗

另外，我工作是连了公司的 vpn，这个 vpn 理论上，能获取我的哪些可能的隐私？

排查

脚本

Mac

ssh

24 条回复 • 2017-05-28 22:50:53 +08:00

20015jjw

2017-05-28 10:52:06 +08:00 via Android

如果人家都 ssh 进来过了应该就烂了？

n6DD1A640

2017-05-28 10:52:29 +08:00

检查下启动项目
~/Library/LaunchAgents/
/Library/LaunchAgents/
/Library/LaunchDaemons/

ambilight

2017-05-28 10:54:14 +08:00 via Android

都 ssh 了，想干啥都行。。。把重要资料备份下抹盘吧

hjc4869

2017-05-28 12:03:35 +08:00

备份抹盘重装

Doubear

2017-05-28 12:25:54 +08:00

首先拔网线

changwei

2017-05-28 12:27:39 +08:00

直接 netstat 看一下是不是已经有木马驻留系统了

vebuqi

2017-05-28 12:59:23 +08:00

断网 -> 备份 -> 抹盘重装

好奇什么情况下，能被人运行脚本呢

wclebb

2017-05-28 13:59:44 +08:00

就算是 Windows 我也得重装系统。
别说 macOS，有这个 SSH 证书已经非常莫名其妙，属于高度危险了（可以随意命令你的电脑）

就算不抹盘，你还能安心使用？
好厉害，我做不到。

Showfom

2017-05-28 15:18:41 +08:00 via iPhone

@wclebb 还得知道密码才可以 sudo

kidlj

2017-05-28 15:35:30 +08:00 via iPhone

- 检查 crontab
- 检查最近某段时间添加的可执行文件

holong2000

2017-05-28 15:49:38 +08:00 via iPad

楼主是怎么中招, 怎么发现的

1314258

2017-05-28 15:55:22 +08:00 via iPhone

@wclebb .ssh/authorized_keys 如果单有这个证书，怎么随意命令我的电脑？

wclebb

2017-05-28 16:17:23 +08:00 via iPhone

@1314258 想了想，好像是我想多了。

qweweretrt515

2017-05-28 16:42:29 +08:00

@vebuqi
@holong2000

情况是，电脑是公司配的，老同事发了个脚本，帮我运行了

我最近才发现，那个脚本写入了 authorized_keys，已经好几个月了

USCONAN

2017-05-28 16:45:19 +08:00

先把這個證書拿出來然後反覆連斷網的同時抓一下 Log 看後台有沒有可疑行為。
然後檢查一下 LaunchAgents 和 LaunchDaemons。
最後在 Keychain 裡仔細排查一遍

都沒啥問題了之後吧這個證書做一個本地吊銷，在修改一下系統密碼就可以了吧

畢竟如果單單一個 sh 沒有 sudo 可以做的事情有限

USCONAN

2017-05-28 16:49:15 +08:00

公司 VPN 的話正常情況下所有非加密連線內容都可以認為是像 PR 公開透明的內容。
如果加密連結要經過你公司自己簽發的證書（中間人）那麼可以認為連線內容都是像 PR 公開透明的內容