Rootkit-Detection

Das Programm netstat

Haben Sie bereits einen laufenden Linux-Server und den Verdacht, dass dieser kompromittiert wurde, hilft Ihnen unter anderem das Programm netstat weiter. Dieses Tool ist in der Regel in jeder Linux-Distribution enthalten und verrät einiges über die derzeitigen Netzwerkverbindungen. Dazu gehören zum Beispiel Routing Tables, Interfaces und Listenports. Speziell letztere Ports, auf denen der Rechner horcht, sind interessant, um herauszufinden, ob der Rechner etwas macht, was er nicht soll. Mit dem Aufruf

netstat -anp | grep LISTEN

zeigt Ihnen das Programm sowohl die externen als auch die internen Socket-Verbindungen an.

netstat -r

gibt Aukunft über die Routing-Tabellen und

netstat -i

gibt Informationen über die installierten Netzwerkkarten wieder. netstat eignet sich nicht nur für die Schadcodesuche. Das Programm ist übrigens standardmäßig auch in Windows enthalten. Allerdings ist diese Windows-Version bei weitem nicht so mächtig wie ihr Linux-Pendant. Welche Schalter Sie mit dem Tool kombinieren können, zeigt Ihnen unter Linux die Manual Page man netstat und unter Windows der Aufruf netstat /?.