前言
在网络安全应急响应过程中，对系统进行整体的安全排查至关重要。恶意文件往往隐藏在系统的一些敏感目录中，因此，了解这些目录对于提高恶意文件排查的效率至关重要。这些目录中包含了系统配置、日志、临时文件以及用户数据等关键信息，可能被攻击者利用来隐藏或执行恶意文件。因此，在安全排查中，安全团队需要仔细检查这些目录，查找任何异常或可疑文件，并进行进一步的分析和处理。
利用安全工具进行自动化扫描是一种有效的方式，但也需要结合人工审查来发现隐藏的恶意文件。定期审查敏感目录并建立巡检机制有助于及早发现和应对潜在的安全威胁。综上所述，对系统中的关键敏感目录进行全面的安全排查，是网络安全应急响应工作中的重要环节。下面列举一些 Linux、Windows、Android 系统中常见的敏感目录及其风险点。
一、Linux 系统敏感目录
1. 配置文件与系统核心
- /etc：包含系统的配置文件，如用户账户信息（/etc/passwd, /etc/shadow）、服务配置等。攻击者常在此处修改 SSH 配置以保留后门，或篡改 cron 任务实现持久化。
- /boot：包含引导加载程序和内核映像等引导文件，对系统的引导过程至关重要。受到攻击的风险可能导致系统无法启动或被植入 Rootkit。
- /proc/sys：包含系统内核参数的虚拟文件系统，攻击者可能通过修改其中的参数（如开启 IP 转发）来影响系统的运行和安全性。
- /dev：包含设备文件的目录，攻击者可能通过特殊的设备文件来进行攻击或提升权限。
- /sys：包含了与系统硬件相关的信息，攻击者可能利用其中的接口进行恶意操作或信息泄露。
2. 日志与临时文件
- /var/log：存放系统日志文件，记录系统运行状态、服务状态和用户活动等信息。重点检查 auth.log、secure、messages 等文件，寻找异常登录记录。
- /tmp 和/var/tmp：临时文件目录，可能存放着敏感信息或上传的 Webshell。由于权限通常较宽，是攻击者常用的落盘位置。
- /run：包含系统运行时的临时文件，例如 PID 文件和套接字文件，攻击者可能利用其中的文件来执行攻击或隐藏恶意活动。
- /dev/shm：共享内存目录，用于进程之间的通信，攻击者可能利用其中的漏洞或共享资源来进行攻击。
3. 用户与应用程序
- /home：用户的家目录，包含用户的个人文件和配置。攻击者可能在此处窃取凭证或隐藏数据。
- /root：超级用户的家目录。如果存在非预期的脚本或密钥文件，说明系统可能已被提权。
- /srv：存放服务数据的目录，可能包含网站内容、FTP 文件等。
- /usr/bin 和/usr/sbin：包含系统执行文件的目录，攻击者可能尝试替换其中的程序以执行恶意代码（如替换 ls 命令）。
- /usr/local/bin 和/usr/local/sbin：用户自行安装的软件的默认安装目录，也可能包含敏感信息和攻击痕迹。
- /opt：通常用于安装额外的第三方软件，攻击者可能尝试在此处安装恶意软件以获取权限或执行攻击。
- /var/www 或/var/html：Web 服务器默认的网站根目录，包含网站文件和脚本，可能受到攻击者的目标，需检查是否有被篡改的 PHP/ASP 文件。
4. 检查建议
使用 find 命令查找最近修改的文件：
find / -type f -mtime -7 -ls
检查异常进程：
ps aux | grep suspicious_keyword
