才用了2天就被黑了。郁闷。

DiDeCrouse

从其他系统拷贝文件替换/bin目录下的文件是可行的。
另外可从以下几个方面尝试检查和修复：
1.删除www账户。该帐户为黑客创建的一个超级管理员帐户

1. userdel -r www

复制代码

2.修改root口令为强口令
3.删除/var/tmp目录下的.zcan.tar文件
4.查看/var/log/secure或者/var/log/messages日志，确定入侵时间。
5.查看任务计划有无异常。/var/spool/cron/tabs
6.检查进程和网络连接，有无异常。

1. ps -aux

复制代码

1. lsof -i -n

复制代码

7.根据入侵时间，确定系统哪些文件被修改，以删除或修复，n为距离今天的天数，具体依入侵时间确定

1. find / -ctime n >/tmp/file.log

复制代码

DiDeCrouse

回复 6# dengbao2001

并没说这些方法一定有效，只是提供一些思路。
命令被替换了可以拷贝回来，即使拷贝整个/bin也比重装好吧？