了解攻擊者腳本，才能建立有效檢測體系。標準入侵分四階段：進入 → 提權 → 植入後門 → 清理日誌。

階段一：進入系統

1. 掃描目標主機，枚舉開放端口、服務版本。
2. 檢查服務漏洞 (CVE) → 遠端利用。
3. 檢查附屬程式 (CGI 等) 漏洞 → 利用。
4. 嘗試弱口令/預設帳號。
5. 利用服務洩露資訊獲取有效帳號。
6. 橫向掃描同網段主機，重複上述步驟。

階段二：提升權限

1. 檢查 SUID/SGID 程式漏洞。
2. 本地服務漏洞/弱口令/配置錯誤。
3. 重要檔案權限配置錯誤。
4. 搜集 /etc、用戶目錄、/tmp、Web 目錄敏感資訊。
5. 循環嘗試至獲取 root/system 權限。

階段三：植入後門

首選自寫後門 (特徵未知)、次選修改開源後門、最後用公開工具 (nc.exe、srv.exe 等)。

階段四：清理日誌

手工修改而非全刪，避免引起注意；不用現成清理工具 (特徵明顯)。

實戰入侵檢測七步法

1. 掃描自己： 用掃描器掃自家主機，發現流行漏洞立即修補。
2. 殺毒掃描： 查殺已知後門 (nc.exe、srv.exe…)。
3. 端口審計： fport.exe 看進程-端口對應；netstat -an 看外連 IP，發現異常 23/3389 等端口立查。
4. 賬號審計： letmain.exe \\ip -admin -d 列出 Administrators 組成員，排查多出帳號。
5. 進程審計： pslist.exe 列進程，pskill.exe 殺掉任務管理器殺不掉的惡意進程。
6. 登入審計： login.exe 看當前登入用戶，防檢測時入侵者同步破壞。
7. 日誌分析： 第三方工具分析龐大日誌，搜尋 scripts/.. 等攻擊特徵；檢查 Web 目錄檔案修改時間 (長期未更新卻有近期修改 = 可疑)。

Unix/Linux 專項檢測補充

• find / -user root -perm -4000 -print 掃 SUID；find / -group kmem -perm -2000 -print 掃 SGID。
• 核對關鍵二進制檔 (ls, su, telnet, netstat, ifconfig) 是否被替換。

總結：入侵檢測 = 基線管理 + 持續監控 + 日誌審計

建立正常狀態基線 (端口、進程、賬號、檔案時間戳)，持續比對異常，輔以 IDS/IPS、防火牆日誌聯動分析，才能做到早發現、早阻斷。