中午发生如下情形我的机器有是不是被黑了了??

guozhongyan

网关发现上联的网络端口有异常流量

查看我的主机,发现不停的在报这个错误PING主机地址无法
Mar 31 12:32:37 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.3.38328: Decode the header of message failed: asn length too long
Mar 31 12:32:37 radius-host last message repeated 1 time
Mar 31 12:32:40 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.124.65378: Decode the header of message failed: asn length too long
Mar 31 12:32:40 radius-host last message repeated 1 time
Mar 31 12:32:41 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.178.38040: Decode the header of message failed: asn length too long
Mar 31 12:32:41 radius-host last message repeated 1 time
Mar 31 12:32:42 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.58.36007: Decode the header of message failed: asn length too long
Mar 31 12:32:42 radius-host last message repeated 1 time
Mar 31 12:32:42 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.132.23222: Decode the header of message failed: asn length too long
Mar 31 12:32:42 radius-host last message repeated 1 time
Mar 31 12:32:43 radius-host snmpXdmid: [ID 334616 daemon.error] Error receiving PDU Decode the header of message failed: asn length too long.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 352064 daemon.error] Error receiving packet from agent; rc = -1.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 669004 daemon.error] Will attempt to re-establish connection.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 334616 daemon.error] Error receiving PDU Decode the header of message failed: asn length too long.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 352064 daemon.error] Error receiving packet from agent; rc = -1.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 669004 daemon.error] Will attempt to re-establish connection.


把SNMPXDIMD进程给KILL之后,地址就恢复响应了

但我发现PRSTAT里面有一个进程叫G3M的,占用满了CPU.但诡异的是用PS -EF|GREP G3M,无法查到这个进程,GREP进程号也不行.只知道是用ROOT用户起的,从什么路经起用的就不知道了..

后来用FIND命令看到/usr/lib/有个/usr/lib/.../g3m的,把他更名后KILL掉所有的G3M的PID,CPU迅速的降下来了
==============================================
请问是否我的机器被人当作肉鸡了?他怎么弄的?这个G3M有谁碰到过是什么东东??

我已经更改了所有账户的密码,剔除出了所有PTS用WHO命令看到的登陆终端,后续我能做哪些防范?

现在我发现我的/var/adm/sulog内每分钟都会有一条root-radius(日常操作的账户)记录,是不是代表这个入侵的人还在我的系统内?

[ 本帖最后由 guozhongyan 于 2009-3-31 18:29 编辑 ]

easybegin

应该是被人黑了，你的ps命令被人替换了，看不到真实的进程.
请用/usr/ucb/ps -aux查看，这是Berkeley版的ps，一般黑客没有替换他。
如果对方已经获得过root权限的话，最好看看他有没有获得rlogin权限，如果有的话，建议重装系统、打最全的补丁。

guozhongyan

如何可以看出他有没有RLOGIN的权限?
我已经开启了记帐功能来追踪一下
另外如何关闭RLOGIN?

不进一环

学习一下

这种清空多半是漏洞造成的吧，既然能替换ps，替换find、kill一类的也不难啊

guozhongyan

用开启记帐功能,是不是可以看到?

guozhongyan

下面是开启记帐功能后发现的行为,他到底准备干嘛?

perl        root     __             0.12 secs Tue Mar 31 23:41
sh          root     __             0.01 secs Tue Mar 31 23:41
ping     S  root     __             0.00 secs Tue Mar 31 23:41
perl        root     __             0.11 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:41
ping     S  root     __             0.01 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:41
grep        root     __             0.00 secs Tue Mar 31 23:41
ifconfig S  root     __             0.00 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:41
grep        root     __             0.01 secs Tue Mar 31 23:41
ifconfig S  root     __             0.01 secs Tue Mar 31 23:41
sh        F root     __             0.00 secs Tue Mar 31 23:41
sh        F root     __             0.00 secs Tue Mar 31 23:41
perl        root     __             0.11 secs Tue Mar 31 23:41
sh          root     __             0.01 secs Tue Mar 31 23:41
netstat     root     __             0.00 secs Tue Mar 31 23:41
sh          root     __             0.01 secs Tue Mar 31 23:41
grep        root     __             0.00 secs Tue Mar 31 23:41
ifconfig S  root     __             0.00 secs Tue Mar 31 23:41
sh        F root     __             0.00 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:40
locale      root     __             0.01 secs Tue Mar 31 23:40
perl        root     __             0.11 secs Tue Mar 31 23:40
sh          root     __             0.00 secs Tue Mar 31 23:40
ping     S  root     __             0.01 secs Tue Mar 31 23:40
sh          root     __             0.01 secs Tue Mar 31 23:40
grep        root     __             0.00 secs Tue Mar 31 23:40
ifconfig S  root     __             0.00 secs Tue Mar 31 23:40
sh        F root     __             0.00 secs Tue Mar 31 23:40
perl        root     __             0.05 secs Tue Mar 31 23:39
sh          root     __             0.00 secs Tue Mar 31 23:39
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:39
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:39
getent      root     __             0.00 secs Tue Mar 31 23:39
uname       root     __             0.01 secs Tue Mar 31 23:39
perl        root     __             0.11 secs Tue Mar 31 23:39
perl        root     __             0.11 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
ping     S  root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.00 secs Tue Mar 31 23:39
ping     S  root     __             0.01 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
perl        root     __             0.12 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
netstat     root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
perl        root     __             0.12 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
ping     S  root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
perl        root     __             0.05 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:38
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:38
getent      root     __             0.01 secs Tue Mar 31 23:38
uname       root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.13 secs Tue Mar 31 23:38
perl        root     __             0.12 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
ping     S  root     __             0.00 secs Tue Mar 31 23:38
ping     S  root     __             0.00 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.11 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
netstat     root     __             0.01 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.11 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
ping     S  root     __             0.01 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.05 secs Tue Mar 31 23:37
sh          root     __             0.00 secs Tue Mar 31 23:37
csh      S  oracle8i __             0.02 secs Tue Mar 31 23:37
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:37
getent      root     __             0.01 secs Tue Mar 31 23:37
uname       root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
ping     S  root     __             0.00 secs Tue Mar 31 23:37
ping     S  root     __             0.00 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
grep        root     __             0.00 secs Tue Mar 31 23:37
grep        root     __             0.00 secs Tue Mar 31 23:37
ifconfig S  root     __             0.00 secs Tue Mar 31 23:37
ifconfig S  root     __             0.00 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
sh          root     __             0.00 secs Tue Mar 31 23:37
netstat     root     __             0.01 secs Tue Mar 31 23:37
sh          root     __             0.00 secs Tue Mar 31 23:37
grep        root     __             0.01 secs Tue Mar 31 23:37
ifconfig S  root     __             0.01 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl     S  root     __             0.08 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
ping     S  root     __             0.00 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
grep        root     __             0.00 secs Tue Mar 31 23:37
ifconfig S  root     __             0.00 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.06 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
csh      S  oracle8i __             0.02 secs Tue Mar 31 23:36
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:36
getent      root     __             0.01 secs Tue Mar 31 23:36
uname       root     __             0.00 secs Tue Mar 31 23:36
perl        root     __             0.12 secs Tue Mar 31 23:36
perl        root     __             0.12 secs Tue Mar 31 23:36
sh          root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
ping     S  root     __             0.00 secs Tue Mar 31 23:36
ping     S  root     __             0.00 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
grep        root     __             0.01 secs Tue Mar 31 23:36
ifconfig S  root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
grep        root     __             0.00 secs Tue Mar 31 23:36
ifconfig S  root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
perl        root     __             0.11 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
netstat     root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
grep        root     __             0.01 secs Tue Mar 31 23:36
ifconfig S  root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
csh      S  aiobs61  __             0.01 secs Tue Mar 31 23:36
monitoro    aiobs61  __             0.01 secs Tue Mar 31 23:36
wc          aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.01 secs Tue Mar 31 23:36
wc          aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.01 secs Tue Mar 31 23:36
wc          aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.00 secs Tue Mar 31 23:36
wc          aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.00 secs Tue Mar 31 23:36
wc          aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.01 secs Tue Mar 31 23:36
ps          aiobs61  __             0.01 secs Tue Mar 31 23:36
perl        root     __             0.11 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
ping     S  root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.01 secs Tue Mar 31 23:36
grep        root     __             0.00 secs Tue Mar 31 23:36
ifconfig S  root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
perl        root     __             0.05 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:35
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:35
getent      root     __             0.01 secs Tue Mar 31 23:35
uname       root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.11 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
ping     S  root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.11 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
ping     S  root     __             0.01 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
grep        root     __             0.00 secs Tue Mar 31 23:35
ifconfig S  root     __             0.00 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
grep        root     __             0.01 secs Tue Mar 31 23:35
ifconfig S  root     __             0.01 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.13 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
netstat     root     __             0.00 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
grep        root     __             0.00 secs Tue Mar 31 23:35
ifconfig S  root     __             0.00 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.11 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
ping     S  root     __             0.01 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
grep        root     __             0.01 secs Tue Mar 31 23:35
ifconfig S  root     __             0.01 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.04 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:34
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:34
getent      root     __             0.00 secs Tue Mar 31 23:34
uname       root     __             0.01 secs Tue Mar 31 23:34
perl        root     __             0.13 secs Tue Mar 31 23:34
perl        root     __             0.11 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
ping     S  root     __             0.00 secs Tue Mar 31 23:34
ping     S  root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
perl        root     __             0.11 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
netstat     root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
perl        root     __             0.11 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
ping     S  root     __             0.01 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
perl        root     __             0.05 secs Tue Mar 31 23:33
sh          root     __             0.00 secs Tue Mar 31 23:33
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:33
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:33
getent      root     __             0.01 secs Tue Mar 31 23:33
uname       root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.11 secs Tue Mar 31 23:33
perl        root     __             0.12 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
ping     S  root     __             0.00 secs Tue Mar 31 23:33
ping     S  root     __             0.00 secs Tue Mar 31 23:33
sh          root     __             0.00 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.11 secs Tue Mar 31 23:33
sh          root     __             0.00 secs Tue Mar 31 23:33
netstat     root     __             0.01 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.11 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
ping     S  root     __             0.00 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.06 secs Tue Mar 31 23:32
sh          root     __             0.00 secs Tue Mar 31 23:32
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:32
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:32
getent      root     __             0.00 secs Tue Mar 31 23:32
uname       root     __             0.01 secs Tue Mar 31 23:32