Администрирую веб-сервер под CentOS.
Какие-то нехорошие люди зашли на сервер и установили на нём свои программы.
Из-за этого сервер стал подтормаживать и иногда зависать.
Добавились три новых процесса, запущенных от юзера apache:
/usr/local/apache/bin/httpd -DSSL ? JaM5
./eggdrop -m a.txt
/usr/local/bin/msmtp --logfile=/var/log/msmtp-php-apache2.log --host=robots.1gb.ru --read-envelope-from -t
/usr/local/bin/msmtp --logfile=/var/log/msmtp-php-apache2.log --host=robots.1gb.ru --read-envelope-from -t
Так получилось, что я очень слабо знаю linux, помогите справиться с проблемой.
Пароль рута я уже поменял.
Что делать дальше?
LinuxForum.Fans
Помогите удалить хакерский софт
Автор: u______15
19 сообщений
4760 просмотров
Я отправил kill -s 9 этим процессам и они завершились. Как сделать, чтобы они не появились после перезагрузки? Где хранится список автостарта?
Я отправил kill -s 9 этим процессам и они завершились. Как сделать, чтобы они не появились после перезагрузки? Где хранится список автостарта?
где угодно. вы можете сделать только одно: полностью снести систему, и поставить её по новой.
Сколько-бы вам тут не рассказывали про автозагрузку, я смогу найти ещё одно неучтённое место.
и ВСЕ скрипты ТОЖЕ сносите (*.php и прочее).
и конфиги конечно. в принципе и в БД можно засунуть...
Харви, почти ваша история smile
[quote=Харви]Я отправил kill -s 9 этим процессам и они завершились. Как сделать, чтобы они не появились после перезагрузки? Где хранится список автостарта?
где угодно. вы можете сделать только одно: полностью снести систему, и поставить её по новой.
Сколько-бы вам тут не рассказывали про автозагрузку, я смогу найти ещё одно неучтённое место.
и ВСЕ скрипты ТОЖЕ сносите (*.php и прочее).
и конфиги конечно. в принципе и в БД можно засунуть...[/quote]
Сложно всё заново ставить.
Я нашёл, что вредоносные процессы запускаются через CRON и удалил их из списка.
Команда rpm -Va показала, что изменений в файлах нет.
Можно доверять rpm? Есть файлы, которые rpm не проверяет?
Харви, почти ваша история smile
Спасибо, было интересно почитать, действительно похожая история.
Сложно всё заново ставить.
дело ваше...
Я нашёл, что вредоносные процессы запускаются через CRON и удалил их из списка.
правильно.
Команда rpm -Va показала, что изменений в файлах нет.
Можно доверять rpm? Есть файлы, которые rpm не проверяет?
да.
Конечно пакеты проверить необходимо, но это - НЕ всё.
прогоните chkrootkit, и Rootkit Hunter
делается это так: на НЕ заражённом компьютере качаете последние версии этого ПО (можно с венды даже), и проверяете md5 там-же (умеет тоталкомандер, в линуксе md5sum).
Потом пишите программы на флешку (желательно заблокировать её на запись, или писать на CD-R)
Потом отключаете больной комп от сети (это ВАЖНО!)
Потом ставите скаченное ПО, и проверяете.
Метод даёт 95% гарантии. Но не 100%.
Харви, если такая бяка обнаружилась, систему надо переустанавливать.
Все другие методы годятся ТОЛЬКО для профилактики и обнаружения.
[quote=Харви]Команда rpm -Va показала, что изменений в файлах нет.
Можно доверять rpm? Есть файлы, которые rpm не проверяет?
да.
Конечно пакеты проверить необходимо, но это - НЕ всё.
прогоните chkrootkit, и Rootkit Hunter
[/quote]
Проверил, руткиты не обнаружены.
Сервер работает отлично.
Вот только при перезагрузке в /var/log/messageg появилось сообщение "process `sysctl' is using deprecated sysctl (syscall) net.ipv6.neigh.seth0.base_reachable_time; Use net.ipv6.neigh.seth0.base_reachable_time_ms instead". Что оно означает? Можно не обращать внимания или это признак проблемы?
Проверил, руткиты не обнаружены.
верится с трудом: chkrootkit постоянно чем-то недовольна. даже на нормальных машинах.
Вот только при перезагрузке в /var/log/messageg появилось сообщение "process `sysctl' is using deprecated sysctl (syscall) net.ipv6.neigh.seth0.base_reachable_time; Use net.ipv6.neigh.seth0.base_reachable_time_ms instead". Что оно означает? Можно не обращать внимания или это признак проблемы?
без понятия. это вам к составителям вашего дистрибутива.
или обновите версию sysctl
Вы все оказались правы - нужно переустанавливать. Сегодня всё вернулось.
Вопрос - как перенести директорию /home, чтобы у файлов сохранились права на запись? Я попробовал упаковать при помощи tar, распаковал - все права сбросились. Что делать, файлов-то много?
Харви, http://linuxland.itam.nsc.ru/book/linux24/ch22_2.html :-) как пример, а так man tar, там есть ключик с которым надо делать восстановление
Вопрос - как перенести директорию /home, чтобы у файлов сохранились права на запись? Я попробовал упаковать при помощи tar, распаковал - все права сбросились. Что делать, файлов-то много?
text
tar cjpvf home-backup.tar.bz2 /home
Если параноить, так параноить: а в домашней директории разве запуститься «зловреду» не откуда? wink
Вопрос - как перенести директорию /home, чтобы у файлов сохранились права на запись? Я попробовал упаковать при помощи tar, распаковал - все права сбросились. Что делать, файлов-то много?
что-то странное с вашим таром: вы можете показать что получилось после распаковки? дайте вывод
[console]tar -tvvf ваш_архив | head[/console]
может не права изменились, а просто имя юзверя? такое возможно, если вы распаковали под рутом, и простой юзер не может править файлы (они-же рута). Сам tar права сохраняет, а вот владельца меняет на того, кто распаковывает.
Если параноить, так параноить: а в домашней директории разве запуститься «зловреду» не откуда?
легко!
только он там более безопасен - у него не будет прав рута.
Кстати, после переустановки следует принудительно сменить владельца всех файлов в home/me на me:me, права файлов на a-x (только простых файлов, не директорий).
Впрочем, зловред может и это обойти :(
drBatty, вопрос был риторический.
может не права изменились, а просто имя юзверя? такое возможно, если вы распаковали под рутом, и простой юзер не может править файлы (они-же рута). Сам tar права сохраняет, а вот владельца меняет на того, кто распаковывает.
Вы правы! Я не задумывался об этом. Паковал одним юзером, распаковывал другим.
вопрос был риторический.
в ответе содержатся не только ответ, но и лекарство ;)
Войдите или зарегистрируйтесь, чтобы ответить.
