高手指点：入侵分析

Jackosn.K · 发表于 2004-9-21 22:27:27

可能是密码泄漏，直接通过ssh进来的.

dancingpig · 发表于 2004-9-21 22:34:22

晕，2进直的文件不是不能删除
lrk就有对wtmp等2进只日志的修改

dancingpig · 发表于 2004-9-21 22:35:38

既然有root权限装个lkm你的系统基本也就完了。。。建议重装算了
我只是主观从楼住的给出信息来判断，最适合楼猪的解决方式，84轻视的意思。。。

Jackosn.K · 发表于 2004-9-22 12:26:17

回楼上

有了rootkit 我可以分析出来的，至少从/proc就很直观。

“重装系统” 夸张！

dancingpig · 发表于 2004-9-22 15:58:56

为了你系统安全着想拉
如果生产时间允许系统重装的话，建议重装谁知道这是不是什么骗人的小把戏
谁知道是不是在什么地方给还藏了什么魔法东西
因为人家已经有了root权限，巩固root的方法多种多样，rootkit只是方法之一
所有的一切都要根据实际环境而定，如果条件不允许也只能做数

Jackosn.K · 发表于 2004-9-23 12:31:31

谢谢提醒，
提供的服务不重要，主要是怕进入内网；还好tripwire的结果正常

linky_fan · 发表于 2004-9-26 08:14:19

不要太相信ssh，这个东西特定版本有缓冲区溢出漏洞的，你的/var/log/secure怎么样

包子 · 发表于 2004-9-28 19:24:50

先重新编译新内核
这个时候才用tripwire等东西
再用挂静态工具检查

随便找个工具就可以处理last之类的log了
我推荐这个
http://www.xfocus.net/tools/200408/798.html

		自动登录	找回密码
密码			注册