谁动了我的sshd（消失的sshd，诡异）（+真相）

消失的sshd

　　上午一直登录在一台远程Linux服务器上，想拿一份最新的数据库数据来，于是用 mysqldump 导出并打包成 tar.gz；在本地的一台Linux服务器上执行 sftp，诡异的事情发生了。

 

[root@liunx0918 shtools]# sftp xxx.xxx.xxx.xxx
Connecting to xxx.xxx.xxx.xxx...
ssh: connect to host xxx.xxx.xxx.xxx port 22: Connection refused
Couldn't read packet: Connection reset by peer
[root@liunx0918 shtools]#

 

也就是说，这台服务器并没有启动 sshd 服务，这怎么可能呢，我不是还 ssh 在上面吗？

 

赶快上去看一下（因为一直登录在上面，还是可以操作的），发现少了 /usr/sbin/sshd 进程。

[root@www mysql]$ ps -ef|grep sshd
root      1971     1  0 10:08 ?        00:00:00 sshd: root@pts/0
root      8962  1973  0 15:05 pts/0    00:00:00 grep sshd
[root@www mysql]$

 

正常的系统是这样的：

[root@www mysql]$ ps -ef|grep sshd
root      1971     1  0 10:08 ?        00:00:00 sshd: root@pts/0
root      4862     1  0 11:46 ?        00:00:00 /usr/sbin/sshd
root      7207  4862  0 11:58 ?        00:00:00 sshd: root@pts/1
root      8962  1973  0 15:05 pts/0    00:00:00 grep sshd
[root@www mysql]$

 

 

当时的第一想法是，赶快把 sshd 启动起来。紧张啊

[root@www mysql]$ service sshd start
sshd: 未被识别的服务
[root@www mysql]$

 

在 /etc/init.d/ 下没有找到 sshd 脚本

[root@www mysql]$ ls /etc/init.d/sshd
ls: /etc/init.d/sshd: 没有那个文件或目录
[root@www mysql]$

 

发现 openssh-server 包不翼而飞

[root@www mysql]$ rpm -qa | grep ssh
openssh-clients-4.3p2-82.el5
openssh-4.3p2-82.el5
[root@www mysql]$

 

正常的系统肯定有，不然怎么 ssh 登录。

[root@liunx0918 backup]# rpm -qa | grep ssh
openssh-4.3p2-36.el5
openssh-clients-4.3p2-36.el5
openssh-server-4.3p2-36.el5
[root@liunx0918 backup]#

 

幸好，还有一个终端连在上面，赶快安装一下：

[root@www mysql]$ yum install -y openssh-server

 

然后重启 sshd 服务

[root@www mysql]$ service sshd start

 

这样终于可以从远程登录和下载文件了。松了一口气

关键的问题是：这个 sshd 为什么会不见了呢？？？黑客？！

 

在 .bash_history 文件中找到了这样的信息

yum remove tcp_wrappers
yum remove tcp_wrappers.i386 0:7.6-40.7.el5

 

在 /var/log/yum.log 中找到了如下信息

Jun 11 10:24:43 Erased: openssh-server
Jun 11 10:24:43 Erased: tcp_wrappers
Jun 11 11:46:05 Installed: tcp_wrappers-7.6-40.7.el5.i386
Jun 11 11:46:05 Installed: openssh-server-4.3p2-82.el5.i386

后面两条是我操作的，前面两条不是我操作的，而是别人真的把openssh-server给删了 。

 

后面问了一下，原来是云主机提供方帮助我们解决“无法远程访问某个服务”的问题，上去做了一些操作，没想到他会干出这样的事情来 。

不过还好，(1)发现得及时；(2)并非黑客所为；

 

可见：服务器的登录权限管控一定要做好，不然都不知道怎么死的。