linux服务器被黑了

今天登陆一个服务器,上去安装些软件,运行ps查看进程,天啦,好多scan-ssh进程.这是个才上线的机器,什么也没装,看来中招了.啥原因?设置了简单密码没更改.

 

我们来看看他都干了些什么:

 cd /var/tmp      //传文件到这个目录,一共2个文件a.jpg及z,jpg,挺狡猾的,这样命名文件
  ls
  ls
  tar xvfz a.jpg   //解压文件,然后运行程序start
  cd a
  ./start
  cd ..
  ls
  ls
  tar xvfz z.jpg  //再解压另外一个文件
  cd z
  screen
  clear
   ll
   cd /
   ll
   cd /usr/
   ls
   exit                //溜之大吉

 

仔细看了进程,发现除了scan-ssh进程外,还有psscan,sh等未知进程,不管三七二十一,杀了这些进程,然后改系统密码,再查看文件/etc/passwd,看有没有被创建新用户.检查运行级别所在的目录,看是否有异常的启动进程被创建;再看/etc/rc.local等.最后删除目录/var/tmp目录里所有文件及目录。

 

重启系统，再多查几次进程。还好，没有发现别的被破坏的迹象。一般情况，对于有业务的系统，最好备份数据，重新安装系统。

 

这又是一例设置简单密码被黑的实例，大家引以为鉴。

 

本文转自sery51CTO博客，原文链接： http://blog.51cto.com/sery/86455，如需转载请自行联系原作者