我的linux服务器被黑了，无从下手

inch

Active Internet connections (w/o servers)\r\nProto Recv-Q Send-Q Local Address           Foreign Address         State      \r\ntcp        0      0 gameserver:http         202.108.9.143:36080     ESTABLISHED \r\ntcp        0      0 gameserver:http         d10.search.cnb.ya:20544 ESTABLISHED \r\ntcp        0      0 gameserver:http         lj2469.inktomisea:33085 TIME_WAIT   \r\ntcp        0    128 gameserver:ssh          192.168.1.109:1722      ESTABLISHED \r\ntcp        0      0 gameserver:http         lj9140.inktomisea:54650 TIME_WAIT   \r\ntcp        0      0 gameserver:http         lj9045.inktomisea:39169 TIME_WAIT   \r\nActive UNIX domain sockets (w/o servers)\r\nProto RefCnt Flags       Type       State         I-Node Path\r\nunix  6      [ ]         DGRAM                    1525   /dev/log\r\nunix  2      [ ]         DGRAM                    1815   \r\nunix  2      [ ]         DGRAM                    1680   \r\nunix  2      [ ]         DGRAM                    1656   \r\nunix  2      [ ]         DGRAM                    1533

missing-cn

1. 分析没有被删除的系统日志。\r\n2. 分析运行中的程序有没有可疑的。\r\n3. 分析系统程序有没有被修改的。\r\n4. 分析应用程序有没有被修改的。

inch

原帖由 missing-cn 于 2005-12-29 17:58 发表\r\n1. 分析没有被删除的系统日志。\r\n2. 分析运行中的程序有没有可疑的。\r\n3. 分析系统程序有没有被修改的。\r\n4. 分析应用程序有没有被修改的。

\r\n\r\n嗯。谢谢，是不是这次黑的非常严重啊。他留下来的HOTMAIL大家以前有没有见到过啊。我google一下，发现也有人的网站被改成这样的。我想会不会是用工具黑的啊。漏洞现在还是没有找到。。

showrun

个人感觉，通过ssh漏洞是不好弄成这样的。sshd在3.7版本以前的是存在缓冲区溢出漏洞。但是能够尝试成功还是比较难的。至少从我的技术水平来说是这样认为的。\r\n多看看php的问题。

inch

原帖由 showrun 于 2005-12-29 21:54 发表\r\n个人感觉，通过ssh漏洞是不好弄成这样的。sshd在3.7版本以前的是存在缓冲区溢出漏洞。但是能够尝试成功还是比较难的。至少从我的技术水平来说是这样认为的。\r\n多看看php的问题。

\r\n\r\n非常感谢。

ayazero

http://overflow.nease.net/aya/unix_incident.txt\r\n\r\nhttp://overflow.nease.net/aya/Linux_incident_response.sh

zhang21cnboy

检查你系统内的帐户。\r\n\r\n特别检查那些运行apache等的帐户，查看权限是否被修改。\r\n\r\n然后查看是否有其他的帐户，与自己原有的设置发生了变化。\r\n\r\n把黑客可能留下的帐户清除之后，启用防火墙，除了自己明确知道的必须端口之外，关闭所有的进出网络通道。\r\n\r\n一定是出去的进来的都要关闭（很多人的防火墙不限制自己机器的output）。\r\n\r\n更改ssh端口。

inch

原帖由 ayazero 于 2005-12-30 09:21 发表\r\nhttp://overflow.nease.net/aya/unix_incident.txt\r\n\r\nhttp://overflow.nease.net/aya/Linux_incident_response.sh

\r\n\r\n非常感谢！

inch

原帖由 zhang21cnboy 于 2005-12-30 11:32 发表\r\n检查你系统内的帐户。\r\n\r\n特别检查那些运行apache等的帐户，查看权限是否被修改。\r\n\r\n然后查看是否有其他的帐户，与自己原有的设置发生了变化。\r\n\r\n把黑客可能留下的帐户清除之后，启用防火墙，除了自己明确知道的 ...

\r\n\r\n\r\n非常感谢！

fnaps

http://overflow.nease.net/aya/Linux_incident_response.sh \r\n这个脚本有什么用？