宝塔官网 IDC推荐 宝塔币商城 邀请大使
【菠萝云】16G内存99¥免费装宝塔 A2招租，联系qq394030111 A3招租，联系qq394030111 ┃易探云┃ 国内高防服务器大全┃ █零途云█ 国内/海外云服务器35/月
【恒爱云】香港VPS免费1天10¥/月 阿里云国际腾讯云aws谷歌云代理 全球服务器，抗投诉，开25站群 【阿里云】宝塔一键部署，低至5折 OV/EV SSL证书，可当日签发
【宝塔拨测】网站打不开?一测便知 【宝塔拨测】网站打不开?一测便知 【宝塔拨测】网站打不开?一测便知 【宝塔拨测】网站打不开?一测便知 【宝塔拨测】网站打不开?一测便知
当前位置：论坛首页 > Linux面板 > Linux面板教程

监测黑客入侵服务器的事件----【堡塔入侵检测】

堡塔开发CyberKid发表在 Linux面板2023-5-26 12:27   [复制链接] 269 161017

堡塔入侵检测插件
更新日志
  • 2.7 版本更新
    1.【优化】兼容最新内核版本
    2.【修复】修复部分规则匹配异常问题
    3.【修复】centos7-119内核系列不稳定问题

有任何建议和问题都欢迎在本贴下留言，也可进群709033027 @群主

一、功能介绍
通过在Linux内核态采集数据，实时的检测识别服务器上的恶意行为，例如反弹shell、权限提升、带外攻击等黑客入侵行为，并及时告警提醒。
支持绝大部分内核版本、linux发行版。
现已支持自动编译内核文件，解决了大部分内核不兼容问题，若无法正常使用，请执行下面指令，并修复一下插件即可，若无效，请截图发到讨论区
  1. cd /www/server/panel/plugin/bt_hids/LKM/ && make
复制代码

二、使用方式
①打开堡塔入侵检测插件，点击【入侵检测开关】，即可开启入侵行为监测
图像 001.png
②在【告警设置】配置接收告警信息平台，以便发现入侵行为，第一时间能收到通知并及时响应
图像 002.png
③在插件【首页-告警内容】中点击【详情】，即可查看入侵行为的详细信息以及处理建议
图像 003.png
图像 004.png
④若某些正常行为被告警误报，可以点击【加白】，将该告警列入白名单
图像 005.png
通过新增、修改、删除规则字段，来调整白名单，当下次匹配到加白规则的行为，则不会发送告警
图像 006.png
图像 008.png
⑥当入侵行为已被处理，可以点击【已处理】来删除该告警
图像 007.png
三、入侵行为测试
1.socket型反弹shell
模拟黑客开启监听5566端口
图像 009.png
被入侵主机进行反向连接
图像 010.png
黑客主机接受连接并执行命令
图像 011.png
堡塔入侵检测发现反弹shell连接并发送告警
图像 012.png
图像 013.png
根据【处理建议】执行命令，中断入侵行为
图像 014.png
图像 015.png
反弹shell进程已被杀死
图像 016.png






使用道具 举报 只看该作者 回复
堡塔安全Bacon
发表于 2025-10-28 14:36:51 | 显示全部楼层
2.7版本更新
1.【优化】兼容最新内核版本
2.【修复】修复部分规则匹配异常问题
3.【修复】centos7-119内核系列不稳定问题
使用道具 举报 回复 支持 反对
堡塔安全Bacon
发表于 2026-1-5 15:02:27 | 显示全部楼层
入侵检测2.8 更新
1.【修复】首次安装启动失败问题
2.【优化】过滤掉一些常见的无用的进程信息
3.【新增】告警内容一键处理按钮
4.【兼容】OpenCloudOS 9系统
使用道具 举报 回复 支持 反对
Yinux
发表于 2024-1-21 16:48:18 | 显示全部楼层
具体支持哪些内核？有没有个列表什么的
使用道具 举报 回复 支持 4 反对 0
yshim
发表于 2025-7-31 01:36:34 | 显示全部楼层
请问怎么解决：
系统：Ubuntu 22.04.5 LTS (Jammy Jellyfish) x86_64(Py3.7.8)
当前内核版本(6.8.0-65-generic)不支持使用堡塔入侵检测
使用道具 举报 回复 支持 2 反对 0
宝塔用户_uqjtxz
发表于 2025-12-13 23:35:50 | 显示全部楼层
服务器是Alibaba Cloud 3（5.10 内核），“堡塔入侵检测”开始是正常可以开启的，在执行下述系统更新后，“堡塔入侵检测”提示：“当前内核版本(5.10.134-19.2.al8.x86_64)不支持使用堡塔入侵检测，更换内核版本参考：https://www.bt.cn/bbs/thread-113964-1-1.html”，无法开启“堡塔入侵检测”，如何解决
yum check-update
alinux3-os                                                                      112 kB/s | 3.8 kB     00:00   
alinux3-updates                                                                 195 kB/s | 4.1 kB     00:00   
alinux3-updates                                                                  79 MB/s |  35 MB     00:00   
alinux3-module                                                                  139 kB/s | 4.2 kB     00:00   
alinux3-plus                                                                    315 kB/s | 3.1 kB     00:00   
alinux3-plus                                                                     73 MB/s |  33 MB     00:00   
alinux3-powertools                                                              277 kB/s | 3.0 kB     00:00   
Extra Packages for Enterprise Linux 8 - x86_64                                  492 kB/s | 4.0 kB     00:00   
Extra Packages for Enterprise Linux 8 - x86_64                                   50 MB/s |  14 MB     00:00   
Extra Packages for Enterprise Linux Modular 8 - x86_64                          364 kB/s | 3.0 kB     00:00   

aliyun-cli.x86_64                                      3.2.0-1.al8                               alinux3-plus   
bpftool.x86_64                                         5.10.134-19.2.al8                         alinux3-plus   
kernel.x86_64                                          5.10.134-19.2.al8                         alinux3-plus   
kernel-core.x86_64                                     5.10.134-19.2.al8                         alinux3-plus   
kernel-devel.x86_64                                    5.10.134-19.2.al8                         alinux3-plus   
kernel-headers.x86_64                                  5.10.134-19.2.al8                         alinux3-plus   
kernel-modules.x86_64                                  5.10.134-19.2.al8                         alinux3-plus   
kernel-modules-extra.x86_64                            5.10.134-19.2.al8                         alinux3-plus   
kernel-modules-internal.x86_64                         5.10.134-19.2.al8                         alinux3-plus   
kernel-tools.x86_64                                    5.10.134-19.2.al8                         alinux3-plus   
kernel-tools-libs.x86_64                               5.10.134-19.2.al8                         alinux3-plus   
perf.x86_64                                            5.10.134-19.2.al8                         alinux3-plus   
python3-perf.x86_64                                    5.10.134-19.2.al8                         alinux3-plus   
quota.x86_64                                           1:4.09-4.0.1.al8                          alinux3-updates
quota-nls.noarch                                       1:4.09-4.0.1.al8                          alinux3-updates
Obsoleting Packages
kernel-headers.x86_64                                  5.10.134-19.2.al8                         alinux3-plus   
    kernel-headers.x86_64                              5.10.134-19.1.al8                         @System        
[root@0i2z1gkh2eh~]# yum upgrade


使用道具 举报 回复 支持 1 反对 0
宝塔用户_yqoyot
发表于 2024-2-15 04:11:48 | 显示全部楼层
Debian12
6.1.0-17-cloud-amd64

提示内核不支持，麻烦大大支持一下。
使用道具 举报 回复 支持 1 反对 0
小新
发表于 2023-11-7 17:51:04 | 显示全部楼层
这个项目还在继续吗？之前不支持的内核是否支持了呢？
使用道具 举报 回复 支持 1 反对 0
鬼斗先生
发表于 2026-9-8 08:24:59 | 显示全部楼层
当前系统版本：rocky9.8，宝塔面板版本：13.0.0。当前内核版本(5.14.0-687.42.1.el9_8.x86_64)不支持使用堡塔入侵检测，更换内核版本参考：https://www.bt.cn/bbs/thread-113964-1-1.html
使用道具 举报 回复 支持 反对
明天依然是晴天
发表于 2026-9-7 00:09:28 | 显示全部楼层
内核 5.14.0-741.el9.x86_64，修复后本地编译失败：ERROR: modpost: "get_mm_exe_file undefined!，官网无 741 预编译 ko，请适配。
使用道具 举报 回复 支持 反对
明天依然是晴天
发表于 2026-9-7 00:08:55 | 显示全部楼层
内核 5.14.0-741.el9.x86_64，修复后本地编译失败：ERROR: modpost: "get_mm_exe_file undefined!，官网无 741 预编译 ko，麻烦适配一下。
使用道具 举报 回复 支持 反对
龙门飞甲
发表于 2026-9-3 20:59:31 | 显示全部楼层
怎么样关闭type:59大量写入，加custom_config.json里面的ignore_exe忽略进程配置也不生效！
ScreenShot_2026-09-03_205510_830.png
使用道具 举报 回复 支持 反对
鬼斗先生
发表于 2026-8-18 09:30:26 | 显示全部楼层
rocky linux9.8也提示内核不支持，
Rocky Linux release 9.8 (Blue Onyx)
Linux localhost 5.14.0-687.39.1.el9_8.x86_64 #1 SMP PREEMPT_DYNAMIC Thu Aug 13 13:06:27 UTC 2026 x86_64 x86_64 x86_64 GNU/Linux
使用道具 举报 回复 支持 反对
寒叙
发表于 2026-7-24 18:33:22 | 显示全部楼层
这个ubuntu24还不能支持吗 等了两年了 感觉应该差不多了呢 还是显示内核不支持
Linux xyschool 6.14.0-37-generic #37~24.04.1-Ubuntu SMP PREEMPT_DYNAMIC Thu Nov 20 10:25:38 UTC 2 x86_64 x86_64 x86_64 GNU/Linux
使用道具 举报 回复 支持 反对
寒叙
发表于 2026-7-24 18:32:46 | 显示全部楼层
这个ubuntu24不能支持吗 等两年了 我也更新到了最新版本 还不能支持内核
Linux xyschool 6.14.0-37-generic #37~24.04.1-Ubuntu SMP PREEMPT_DYNAMIC Thu Nov 20 10:25:38 UTC 2 x86_64 x86_64 x86_64 GNU/Linux
使用道具 举报 回复 支持 反对
hopephen
发表于 2026-6-27 17:41:51 | 显示全部楼层
当前内核版本(5.14.0-706.el9.x86_64)不支持使用堡塔入侵检测，更换内核版本参考：https://www.bt.cn/bbs/thread-113964-1-1.html

Upgraded:
  epel-next-release-9-11.el9.noarch                                                   epel-release-9-11.el9.noarch

Complete!
[root@mgt LKM]# cd /www/server/panel/plugin/bt_hids/LKM/ && make
|-----------------------------------|
| building HIDS kernel module       |
|-----------------------------------|
make -C /lib/modules/5.14.0-706.el9.x86_64/build M=/www/server/panel/plugin/bt_hids/LKM modules
make[1]: Entering directory '/usr/src/kernels/5.14.0-706.el9.x86_64'
  MODPOST /www/server/panel/plugin/bt_hids/LKM/Module.symvers
ERROR: modpost: "get_mm_exe_file" [/www/server/panel/plugin/bt_hids/LKM/hids_driver.ko] undefined!
make[2]: *** [scripts/Makefile.modpost:128: /www/server/panel/plugin/bt_hids/LKM/Module.symvers] Error 1
make[1]: *** [Makefile:1882: modules] Error 2
make[1]: Leaving directory '/usr/src/kernels/5.14.0-706.el9.x86_64'
make: *** [Makefile:161: all] Error 2
[root@mgt LKM]#
使用道具 举报 回复 支持 反对
hopephen
发表于 2026-6-24 10:40:50 | 显示全部楼层
Upgraded:
  ImageMagick-6.9.13.50-1.el9.x86_64                            ImageMagick-devel-6.9.13.50-1.el9.x86_64        ImageMagick-libs-6.9.13.50-1.el9.x86_64
  coreutils-8.32-43.el9.x86_64                                  coreutils-common-8.32-43.el9.x86_64             crypto-policies-20260610-1.git0798a9f.el9.noarch
  crypto-policies-scripts-20260610-1.git0798a9f.el9.noarch      glibc-2.34-271.el9.i686                         glibc-2.34-271.el9.x86_64
  glibc-common-2.34-271.el9.x86_64                              glibc-devel-2.34-271.el9.x86_64                 glibc-gconv-extra-2.34-271.el9.i686
  glibc-gconv-extra-2.34-271.el9.x86_64                         glibc-headers-2.34-271.el9.x86_64               glibc-langpack-en-2.34-271.el9.x86_64
  gnutls-3.8.10-6.el9.x86_64                                    gtk-update-icon-cache-3.24.31-9.el9.x86_64      gtk3-3.24.31-9.el9.x86_64
  hwdata-0.348-9.23.el9.noarch                                  nspr-4.39.0-4.el9.x86_64                        nss-3.124.0-4.el9.x86_64
  nss-softokn-3.124.0-4.el9.x86_64                              nss-softokn-freebl-3.124.0-4.el9.x86_64         nss-sysinit-3.124.0-4.el9.x86_64
  nss-util-3.124.0-4.el9.x86_64                                 selinux-policy-38.1.81-1.el9.noarch             selinux-policy-targeted-38.1.81-1.el9.noarch
  systemd-252-71.el9.x86_64                                     systemd-devel-252-71.el9.x86_64                 systemd-libs-252-71.el9.x86_64
  systemd-pam-252-71.el9.x86_64                                 systemd-rpm-macros-252-71.el9.noarch            systemd-udev-252-71.el9.x86_64

Complete!
[root@mgt LKM]# cd /www/server/panel/plugin/bt_hids/LKM/ && make
|-----------------------------------|
| building HIDS kernel module       |
|-----------------------------------|
make -C /lib/modules/5.14.0-706.el9.x86_64/build M=/www/server/panel/plugin/bt_hids/LKM modules
make[1]: Entering directory '/usr/src/kernels/5.14.0-706.el9.x86_64'
  MODPOST /www/server/panel/plugin/bt_hids/LKM/Module.symvers
ERROR: modpost: "get_mm_exe_file" [/www/server/panel/plugin/bt_hids/LKM/hids_driver.ko] undefined!
make[2]: *** [scripts/Makefile.modpost:128: /www/server/panel/plugin/bt_hids/LKM/Module.symvers] Error 1
make[1]: *** [Makefile:1882: modules] Error 2
make[1]: Leaving directory '/usr/src/kernels/5.14.0-706.el9.x86_64'
make: *** [Makefile:161: all] Error 2
[root@mgt LKM]#
使用道具 举报 回复 支持 反对
星痕科技
发表于 2026-5-26 11:03:20 | 显示全部楼层
当前内核版本(6.12.69+deb13-amd64)不支持使用堡塔入侵检测，
使用道具 举报 回复 支持 反对
宝塔用户_knwtbg
发表于 2026-4-22 11:38:18 | 显示全部楼层
Rocky 9 现在有支持吗？
使用道具 举报 回复 支持 反对
oO老孫Oo
发表于 2026-3-18 12:00:03 | 显示全部楼层
用不上，真难受
使用道具 举报 回复 支持 反对
爱奥特曼
发表于 2026-3-18 10:01:07 | 显示全部楼层
本帖最后由 爱奥特曼 于 2026-3-19 09:27 编辑

卸载重新安装，问题得到了解决，麻烦你们了
使用道具 举报 回复 支持 反对
爱奥特曼
发表于 2026-3-18 09:59:46 | 显示全部楼层
你好，现在环境时Debian12，内核从6.1.0-40升级到6.1.0-42后堡塔入侵检测 2.8能安装但是不能启动服务，

#cd /www/server/panel/plugin/bt_hids/LKM/
#make
在LKM文件夹编译后提示
Makefile:154: *** Kernel header files related to 6.1.0-42-amd64 not found.  Stop.

希望能得到你的帮助，谢谢！
使用道具 举报 回复 支持 反对
冰雷雨
发表于 2026-3-13 17:18:13 | 显示全部楼层
2.8还是不支持：
当前内核版本(6.8.0-51-generic)不支持使用堡塔入侵检测，更换内核版本参考：
使用道具 举报 回复 支持 反对
12345678910... 18下一页
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

登录 注册
紧急运维服务

响应时间：3分钟

问题处理方式：宝塔专家1对1服务

工作时间：工作日：9：00 - 18：30

宝塔专业团队为您解决服务器疑难问题

点击联系技术分析

工作时间：09:00至18:30

  • 联系我们
  • 周一至周六，节假日除外
  • 9:15~12:30，14:00~18:15
  • 联系电话：0769-23030556
  • 如有问题，论坛发帖咨询
  • 商务合作QQ/WX：394030111

《开源许可协议》 | 《用户协议》 | 《隐私声明》 |

高新技术企业编号GR201944000059|粤B2-20201398|粤ICP备17030143号|粤公网安备44190002003211号

Copyright © 2026 宝塔面板|让运维简单高效(www.bt.cn) 广东堡塔安全技术有限公司     Powered by Discuz! X3.4Rights Reserved

违法网站请勿向我司工作人员发起任何形式的人工服务请求，严禁使用宝塔面板从事任何非法活动 | 违规信息举报入口 | 中国互联网举报中心

快速回复 返回顶部 返回列表