才用了2天就被黑了。郁闷。

xuzhendong

安装的linux redhat as 5 。跑oracle11g学习用的。
开了ssh端口，root账号密码设置的太简单。被黑掉了。
现在开机出现大量/bin/xx  can not execute binary file系统无法启动。
进入linux rescue模式。
查看root下 .bash_history只发现登陆上来运行了如下命令：
w
rpm -q php
screen -r
passwd
/usr/sbin/useradd -u 0 -g 0 -o www
passwd www
rpm -q php
screen -r
cd /var/tmp
ls -
lastlog
userdel oracle
tar zxvf .zcan.tar
screen
查看/var/tmp目录下有个.zcan.tar文件。解压查看，像是密码字典。

请问下，现在该如何修复系统。

vermouth

重装比较好，专业的记得擦除脚印不好彻底排查的。

xuzhendong

现在开机出现大量/bin/xx  can not execute binary file系统无法启动。

像这个错误的话，是不是/bin下面的指令被替换了？如果需要修复的话，该如何操作？


查看了/bin目录下的文件。像mkdir cp zcat好多文件都被替换掉了。修改时间显示为被黑的那天。

从正常的系统拷贝相应的文件过来替换掉被修改的那些文件，可行吗？

chenyx

你现在的数据量不大,还是重新安装比较靠谱.
安装完成,修改下sshd_config,禁用root登陆,禁用密码方式登录,只用key的方式来远程管理吧.

DiDeCrouse

从其他系统拷贝文件替换/bin目录下的文件是可行的。
另外可从以下几个方面尝试检查和修复：
1.删除www账户。该帐户为黑客创建的一个超级管理员帐户

1. userdel -r www

复制代码

2.修改root口令为强口令
3.删除/var/tmp目录下的.zcan.tar文件
4.查看/var/log/secure或者/var/log/messages日志，确定入侵时间。
5.查看任务计划有无异常。/var/spool/cron/tabs
6.检查进程和网络连接，有无异常。

1. ps -aux

复制代码

1. lsof -i -n

复制代码

7.根据入侵时间，确定系统哪些文件被修改，以删除或修复，n为距离今天的天数，具体依入侵时间确定

1. find / -ctime n >/tmp/file.log

复制代码

dengbao2001

重装比较靠谱点，很难将系统替换的文件一一还原的。

楼上如果这些命令被替换了，怎么办？

FaintKnowledge

呵呵,捣乱型的,就是让你不好恢复(我觉得80%的可能是误操作造成的.入侵的话更好,别跑应用了,最好的学习资料了 )
last 命令,lastlog命令,看看登陆日志.
其实也没必要做其它的操作,缺什么文件,拷什么文件进去就行了.改掉root密码.开启防火墙
启动后看看监控下网络连接(需要间歇性的监控),有异常的就查看下那个连接的命令的进程名字. 有些进程是可以隐藏的,所以,ps不一定能显示出来.

DiDeCrouse

回复 6# dengbao2001

并没说这些方法一定有效，只是提供一些思路。
命令被替换了可以拷贝回来，即使拷贝整个/bin也比重装好吧？
   

dooros

为了安全起见，建议重装