一次消无声息的系统被入侵经历
作者 佚名技术
来源 Linux系统
浏览
发布时间 2012-05-13
| 一次消无声息的系统入侵经历
在例行维护中有台linux server 运行缓慢,我注意到inetd.conf的末尾出现一条奇怪的纪录. netstat stream tcp nowait root /usr/lib/netstat netstat 这条纪录看上去不对.我就检查了和这台机器一同安装的机器,结果没有发现有这一行.这时CPU达到了100%利用率.接着用nc程序,将文件ps,netstat ,ls,top,从我怀疑的机器copy到了安全无故障的机器上.通过对比MD5,发现程序没有问题.排除了rootkit.那CPU利用率高怎么解释?这时候想起来看看日志.有个疑点,从3月18日到3月28日期间,在/var/log/secure中没有任何登陆纪录.,而那几天我肯定登陆机器了.而删除log需要root权限,从而断定系统被攻破.我只好在交换机上作SPAN,把故障机器的流量镜想到安装协议分析的电脑上.我们看看nmap稍描得结果: laptop#nmap -sS -pl -O 192.168.0.1 有很多服务显示"unknown"先纪录下来,稍后处理.然后我运行lsof,把系统中打开着的传输层网络文件描述符列出. #lsof egrep "TCP|UDP" 结果发现一些东西在TCP端口3457,32411上监听,我们再用ngrep来显示流经32411的TCP流量. 用mactime程序发现了可疑点, /mount/lib/modules/2.4.18.3/net/ipv6.0 209 .a. -rwx------ root root我知道这台机器没装ipv6协议.用strings程序看看ipv6.o的二进制文件本生更显示 #string ipv6.0 ............. 另外我还注意到一个inode被该动 # diff rc.local /etc/rc.d/rc.local/ 36d35 < /usr/sbinb/initd initd也是shell程序,我们看看实际内容 # cat /usr/sbin/initd/ 发现其中有一行 /sbin/insmod -f /lib/modules /2.4.18.3/net/ipv6.0 > /dev/null 2 >/dev/null /usr/sbin/rpc.status,随后我又检查了rpc.status.为深入了解rpc.status功能需要执行反汇编.我已有足够的信息知道里面发现的事情了. 拥有帝国一切，皆有可能。欢迎访问phome.net 拥有帝国一切，皆有可能。欢迎访问phome.net |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
你可能对下面的文章感兴趣
上一篇: 忘记Linux系统root帐号密码的解决方法下一篇: 安装linux遇到的问题
关于一次消无声息的系统被入侵经历的所有评论
