[记录]Linux木马一记

1.相关文章

http://news.drweb.com/show/?i=5801&lng=en

http://bbs.appstar.com.cn/thread-10205-1-1.html

http://blog.youkuaiyun.com/liukeforever/article/details/38560363

http://securelist.com/analysis/publications/64361/versatile-ddos-trojan-for-linux/

2.中毒现象

中毒机器大量向外发送数据包，导致机房网络出现严重丢包，

所有被感染的目录和文件：

/etc/init.d/selinux

/etc/init.d/DbSecuritySpt

/etc/rc[1-5].d/S99selinux

/etc/rc[1-5].d/S97DbSecuritySpt

/usr/bin/bsd-port

/tmp/gate.lod

/tmp/moni.lod

/usr/bin/dpkgd

/usr/bin/.sshd

tomcat主目录下conf.n和可运行文件lf

木马文件本身会生成多个拷贝，还有可能转移到其他目录，

确定是否为同一个文件拷贝的方法是计算文件的MD5值：

   md5sum  xxx.file

3.排查木马所用到的指令

ps 

lsof

netstat

(当然这些脚本本身已经被木马篡改，所以应该从其他地方下载未被感染的脚本)

strings

md5sum 

rpm -Va 

c