……幸运的是他们只是收集数据，并没有做其他事情，他们把这件事贴在了耻辱墙上，说“又一个黑客倒下了”。我说幸运的是，因为我那台笔记本电脑上有数千名客户的数据，包括我当时所经营业务的信用卡号码。他们错过了这些，第二天我重新安装了我的笔记本电脑，并巧合地重置了所有密码。我当时并不知道我被入侵了，只是觉得有其他原因需要重新安装系统。后来我发现了他们贴在耻辱墙上的帖子，感到非常羞愧。这个帖子激励我为我的工作站设置了一个陷阱。这是我多年前使用过的东西，但我觉得如果文件开始改变，有一个警报系统是很好的。
源讨论问HN：你如何确定你的个人电脑没有被入侵？原帖 448 条评论 · 导入时统计“被入侵”意味着没有安装恶意软件，或者没有被恶意第三方访问。这可能发生在BIOS、固件、操作系统、应用程序或其他任何层级。
完整原文把你的经验，加入这段讨论。
> 这个讨论让我想为我的工作站设置一个监控警报。这是我多年前曾经使用过的东西，但我觉得拥有某种文件更改时的警报机制是很好的。 你能解释一下你设置了什么吗？
完整原文请注意，即使在20年前我开始研究这些东西的时候，利用内核就是标准操作。这包括像读取或stat显示一个有效文件，但执行时却运行了一个被利用的文件。这也允许隐藏的目录和文件。所以你无法用ls找到子目录，但你可以进入它。 因此，你真的必须从可信的媒体启动，使用可信的内核，没有不可信的模块，才能确保你看到的是真实的。通常这涉及重启到可信的只读媒体，进行扫描，然后重新启动到生产环境。提到的HOWTO中提到找到一个未使用的内核模块，比如floppy.ko，并将其替换为恶意负载，并确保它在启动时加载。 同时请记住，攻击者非常了解tripwire，我看到的一些攻击工具专门寻找类似tripwire的方法，并会挂钩到更新检查中。…
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。