如何确定服务器被装了rootkit？

seskissinger

我新接手了一个服务器。以前的网管估计装了rootkit。我也不确定，我想知道我的系统里是否有rootkit。我该怎么办呢？我尝试在服务器上装rkhunter和chkrootkit。都被kill掉了。。。
郁闷中，到底如何发现它？不能停掉系统，也无法确定系统文件的完整性

seskissinger

现在的状况是，无法停止服务器。。也不知道服务器上的程序。login ，bash之类的是否被替换。。。。唯一知道的。是系统有有17个隐藏的进程（ps命令显示不出来），我不知道是不是redhat as4配置的隐藏进程还是rootkit干的
执行rkhunter，被kill掉，错误的日志信息是
backup kernel: syslog[23024] general protection rip:3efdf716e0 rsp:7fbfffaec8 error:0


这种形势太难了。。。

seskissinger

我尝试在服务器上装rkhunter和chkrootkit。都被kill掉了。。。
。。。。。。楼上的看贴还真是仔细

seskissinger

错误的日志信息是
backup kernel: syslog[23024] general protection rip:3efdf716e0 rsp:7fbfffaec8 error:0
楼上的看贴。。。。。

seskissinger

原帖由 孤独的鹰 于 2007-10-17 10:20 发表
所有的shell 系统命令都用光盘外挂进去
以前我做过一个iso文件里面静态编译了所有的系统命令和一些工具
mount上机器然后使用ISO内的命令进行检查
既然中了木马就是都不可信的

我没做过所有命令的光盘。我新来的，有别的方法没？

seskissinger

有问题大家可以讨论。谢谢楼上的。