Linux 取证135 条

hosts 与 DNS 配置篡改检查

/etc/hosts 与 /etc/resolv.conf 被修改可导致域名解析指向攻击者主机，用于劫持更新与情报查询，是容易忽略的持久化点之一。

文件	/etc/hosts、/etc/resolv.conf
观察	新增条目、mtime、不可变属性

核查

cat /etc/hosts
stat -c '%n %y' /etc/hosts /etc/resolv.conf
lsattr /etc/hosts /etc/resolv.conf 2>/dev/null

resolv.conf 常由网络管理器生成，判断改动前先确认生成机制。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌