我的linux服务器被黑了，无从下手

inch

哪位大仙帮个忙，理个思路。 \r\n被黑的程度：网站主页被改，日志都被删除了。 \r\n现在想查出是怎么进入我的系统的。 \r\n\r\n我是一新手，有劳大家帮个忙，也烦请回答的细些。 \r\n\r\n万分感谢！

jianghao0726

说清楚你的具体情况啊,比如你那是什么系统,开什么服务了,好让大家帮你分析啊

inch

inch

假如是通过SSH进入的话，那他怎么会知道我的密码的呢？是不是通过工具注入的木马？那是什么工具呢，是我的PHP程序有问题？

ayazero

脆弱性可能存在于很多方面，你贴的这些也不能说明问题

ipaddr

很少听说Linux被黑成这样的。。

inch

原帖由 ayazero 于 2005-12-29 17:25 发表\r\n脆弱性可能存在于很多方面，你贴的这些也不能说明问题

\r\n\r\n\r\n是的。你说的是。但是想理个思路，碰到这种问题，要怎样一步步查。

inch

PID USER     PRI  NI  SIZE  RSS SHARE STAT  LIB %CPU %MEM  CTIME COMMAND\r\n    1 root      15   0   468  468   420 S       0  0.0  0.0   0:06 init\r\n    2 root      0K   0     0    0     0 SW      0  0.0  0.0   0:00 migration/0\r\n    3 root      0K   0     0    0     0 SW      0  0.0  0.0   0:00 migration/1\r\n    4 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 keventd\r\n    5 root      34  19     0    0     0 SWN     0  0.0  0.0   0:00 ksoftirqd_CPU0\r\n    6 root      34  19     0    0     0 SWN     0  0.0  0.0   0:00 ksoftirqd_CPU1\r\n   11 root      25   0     0    0     0 SW      0  0.0  0.0   0:00 bdflush\r\n    7 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kswapd\r\n    8 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kscand/DMA\r\n    9 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kscand/Normal\r\n   10 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kscand/HighMem\r\n   12 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kupdated\r\n   13 root      25   0     0    0     0 SW      0  0.0  0.0   0:00 mdrecoveryd\r\n   19 root      24   0     0    0     0 SW      0  0.0  0.0   0:00 aacraid\r\n   20 root      25   0     0    0     0 SW      0  0.0  0.0   0:00 scsi_eh_0\r\n   23 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kjournald\r\n   81 root      25   0     0    0     0 SW      0  0.0  0.0   0:00 khubd\r\n  645 root      15   0     0    0     0 SW      0  0.0  0.0   0:00 kjournald\r\n 1442 root      15   0   580  580   504 S       0  0.0  0.0   0:00 syslogd\r\n 1446 root      25   0   432  432   376 S       0  0.0  0.0   0:00 klogd\r\n 1503 root      15   0  1496 1496  1256 S       0  0.0  0.1   0:00 sshd\r\n 1514 root      25   0   804  804   688 S       0  0.0  0.0   0:00 xinetd\r\n 1524 root      15   0   564  564   504 S       0  0.0  0.0   0:00 crond\r\n 1533 root      25   0  1084 1084   928 S       0  0.0  0.1   0:00 mysqld_safe\r\n 1560 mysql     15   0 11600  11M  1824 S      36  0.0  1.1   0:00 mysqld\r\n 1585 xfs       25   0  3088 3088   796 S       0  0.0  0.2   0:00 xfs\r\n 1594 mysql     15   0 11600  11M  1824 S      36  0.0  1.1   0:01 mysqld\r\n 1595 mysql     20   0 11600  11M  1824 S      36  0.0  1.1   0:00 mysqld\r\n 1596 mysql     25   0 11600  11M  1824 S      36  0.0  1.1   0:00 mysqld\r\n 1597 mysql     25   0 11600  11M  1824 S      36  0.0  1.1   0:00 mysqld\r\n 1598 mysql     20   0 11600  11M  1824 S      36  0.0  1.1   0:00 mysqld\r\n 1608 daemon    15   0   528  528   472 S       0  0.0  0.0   0:00 atd\r\n 1615 root      21   0   400  400   348 S       0  0.0  0.0   0:00 mingetty

inch

UID        PID  PPID  C STIME TTY          TIME CMD\r\nroot         1     0  0 18:08 ?        00:00:04 init\r\nroot         2     0  0 18:08 ?        00:00:00 [migration/0]\r\nroot         3     0  0 18:08 ?        00:00:00 [migration/1]\r\nroot         4     1  0 18:08 ?        00:00:00 [keventd]\r\nroot         5     1  0 18:08 ?        00:00:00 [ksoftirqd_CPU0]\r\nroot         6     1  0 18:08 ?        00:00:00 [ksoftirqd_CPU1]\r\nroot        11     1  0 18:08 ?        00:00:00 [bdflush]\r\nroot         7     1  0 18:08 ?        00:00:00 [kswapd]\r\nroot         8     1  0 18:08 ?        00:00:00 [kscand/DMA]\r\nroot         9     1  0 18:08 ?        00:00:00 [kscand/Normal]\r\nroot        10     1  0 18:08 ?        00:00:00 [kscand/HighMem]\r\nroot        12     1  0 18:08 ?        00:00:00 [kupdated]\r\nroot        13     1  0 18:08 ?        00:00:00 [mdrecoveryd]\r\nroot        19     1  0 18:08 ?        00:00:00 [aacraid]\r\nroot        20     1  0 18:08 ?        00:00:00 [scsi_eh_0]\r\nroot        23     1  0 18:08 ?        00:00:00 [kjournald]\r\nroot        81     1  0 18:08 ?        00:00:00 [khubd]\r\nroot       645     1  0 18:08 ?        00:00:00 [kjournald]\r\nroot      1442     1  0 18:08 ?        00:00:00 syslogd -m 0\r\nroot      1446     1  0 18:08 ?        00:00:00 klogd -x\r\nroot      1503     1  0 18:08 ?        00:00:00 /usr/sbin/sshd\r\nroot      1514     1  0 18:08 ?        00:00:00 xinetd -stayalive -reuse -pidfile /var/run/xinetd.pid\r\nroot      1524     1  0 18:08 ?        00:00:00 crond\r\nroot      1533     1  0 18:08 ?        00:00:00 /bin/sh /usr/bin/mysqld_safe --datadir=/var/lib/mysql --pid-file=/var/lib/mysql/smsserver.pid\r\nmysql     1560  1533  0 18:08 ?        00:00:00 [mysqld]\r\nxfs       1585     1  0 18:08 ?        00:00:00 [xfs]\r\nmysql     1594  1560  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1595  1594  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1596  1594  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1597  1594  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1598  1594  0 18:08 ?        00:00:00 [mysqld]\r\ndaemon    1608     1  0 18:08 ?        00:00:00 [atd]\r\nroot      1615     1  0 18:08 tty1     00:00:00 /sbin/mingetty tty1\r\nroot      1616     1  0 18:08 tty2     00:00:00 /sbin/mingetty tty2\r\nroot      1617     1  0 18:08 tty3     00:00:00 /sbin/mingetty tty3\r\nroot      1618     1  0 18:08 tty4     00:00:00 /sbin/mingetty tty4\r\nroot      1620     1  0 18:08 tty5     00:00:00 /sbin/mingetty tty5\r\nroot      1621     1  0 18:08 tty6     00:00:00 /sbin/mingetty tty6\r\nmysql     1625  1594  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1626  1594  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1627  1594  0 18:08 ?        00:00:00 [mysqld]\r\nmysql     1628  1594  0 18:08 ?        00:00:00 [mysqld]\r\nroot      1629  1503  0 18:09 ?        00:00:00 /usr/sbin/sshd\r\nroot      1631  1629  0 18:09 pts/0    00:00:00 -bash\r\nroot      1670     1  0 18:10 ?        00:00:00 /home/httpd/bin/httpd\r\nnobody    1671  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1672  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1673  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1674  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1675  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1679  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1680  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1681  1670  0 18:10 ?        00:00:00 [httpd]\r\nnobody    1708  1670  0 18:14 ?        00:00:00 [httpd]\r\nroot      1715  1631  0 18:16 pts/0    00:00:00 ps -ef