服务器被黑了，不断的伪装系统命令来往外发包，找不到主进程，求助

storysky

有一台服务器被黑，不停的用伪装的普通命令在向外发包，目标端口号不固定，目标ip不固定，系统进程好随机，端口号随机，用nethogs 抓数据 目标ip在那放着，但进程号全是？，即使找到了进程号切换的也非常快，
郁闷的是lsof 竟然不能用了，删掉重装也不行...
目标ip 是 59.56.76.6  183.131.69.9:88 这种的
哎，烦死

phanx

重装也不行？ 怎么重装的？ 是全部格掉重装的么？

建议重装完成后，先把补丁打完。然后，装一个 aide，光盘上就有。联网前用 aide 做一个检查，结果保存一下。
然后如果遇到问题。 再校验一下，就知道哪里被动过了。

aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

storysky

回复 2# phanx


    是lsof 删掉重装

lyhabc

请问楼主有防火墙 和监控系统吗，有防火墙的话就比较好判断和排查了