中木马了，如何查找创建木马进程的木马程序

hk_sean

背景：最近放在公网上的服务器中了木马。木马的作用是往另一个公网服务器发送大量的SYN报文。所以这个木马就是把我的服务器当肉鸡了，往别的机器发syn flood攻击。
目标：想找到创建木马进程的后台木马，然后删除。


木马详情：
木马程序是：
/usr/bin/bblvynuohi
木马程序名是随机的，删除后，会自动再创建的。
还有一个副本：
/lib/libudev.so
libudev.so和bblvynuohi用ls -l看，大小一样大。

通过netstat -napt命令看：
tcp        0     52 192.168.1.106:22            192.168.1.5:49311           ESTABLISHED 22631/sshd         
tcp        0      1 192.168.1.106:56534         51.255.66.195:22            SYN_SENT    21487/grep "A"      

第二条连接就是木马建立的连接，因为我开了防火墙规则，所以这条连接始终创建不成功，始终是循环建连接的状态。
通过ls -al  /proc/21487/exe这个命令看，创建这个连接的就是/usr/bin/bblvynuohi。

还有一处木马创建的文件：/etc/cron.hourly/gcc.sh，文件内容是：
#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin
for i in `cat /proc/net/dev|grep awk -F: {'print $1'}`; do ifconfig $i up& done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6

通过下列命令，将这4处一起杀掉，很快这4处又生成了新的文件和进程。
kill -9 21487 ;   rm -rf  /lib/libudev.so    /usr/bin/bblvynuohi     /etc/cron.hourly/gcc.sh;


目前我做的是通过iptables将木马往外发的syn包都给丢掉了，并将新建木马进程时所创建的网络连接也阻断了。但创建木马进程的后台木马一直没找到。请问该如何查找后台的木马程序。

lyhabc

如何在centos上安装和使用 Rkhunter [复制链接]
--http://bbs.chinaunix.net/forum.p ... =4233719&extra=

csoho2000

ps axjf   根据ppid和pid 查找进程对应的父进程

不知道行不行

jixuuse

也许ps、cd、ls都被人家替换掉了

hk_sean

回复 2# lyhabc


    之前装过rkhunter，但没看出问题。

hk_sean

csoho2000 发表于 2016-05-11 10:06
ps axjf   根据ppid和pid 查找进程对应的父进程

不知道行不行

当前父进程是1，查不到创建时的父进程是谁。

lyhabc

那不清楚了

xiaoyun222

楼主，发现我都中了同样的木马了

koalacba

首先. 可以先检查启动项/etc/rc.d/rc.local 以及计划任务
然后 ll -t /etc/init.d/ 看看最近发生修改时间的服务。
另外，需找被篡改的命令 。
正常如果服务器有做一下日志审计，也可以看看有没有什么相关的操作信息

一般经验来看，ps netstat lsof  等等一些常用的命令如果修改时间跟其他普通文件不太一样。就很有可能被篡改了

action08

回复 9# koalacba


    rc只是一种很初级的命令，你看肯定什么都没有


shell@localhost:~$ cat /etc/rc.local
#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

exit 0
shell@localhost:~$
shell@localhost:~$