百戰天龍MacGyver討論區 » 工具,程式討論區 » 伺服器入侵事件始末
本頁主題: 伺服器入侵事件始末 打印 | 加為IE收藏 | 收藏主題 | 上一主題 | 下一主題

kinbaku


優秀斑竹獎
該用戶目前不在線
級別: 管理員
精華: 0
發帖: 10692
威望: 11514 Exp
Dollar: 16149 NT
貢獻值: 10999 元
注冊時間:2005-07-12
最後登錄:2017-10-23

伺服器入侵事件始末

本帖被 kinbaku 從 閒話家常 移動到本區(2007-06-22)
6/5 早上,一如往常開機檢查syslog
卻發現部分資料並沒有出現或是更新
本來不以為意,以為是前幾天更新程式造成的bug
等週末再慢慢檢查

6/6 忙著工作也忘了這回事情

6/7 下班後,恰巧想要修改一下新學到的一招firewall機制
卻意外在查詢google時看到了 chkrootkit 有更新版
chkrootkit是一套檢測系統資料檔案是否有可能被竄改或是backdoor的程式
結果發現了4-5的檔案遭到竄改
本想說會不會是程式有問題
但為求慎重起見檢查備用主機卻沒有發現
這時驚覺事態嚴重
本以為是我以iptables寫的防火牆機制出現嚴重漏洞
但是後來檢測,卻發現是先前借人用的一個帳號她用的是數字密碼
而非要求的數字+英文混合密碼
加上最近該人士的電腦持續發送病毒郵件
故確定來源為此帳號,純屬人為疏失

頂端 Posted: 2007-06-08 09:34 | [樓 主]
kinbaku


優秀斑竹獎
該用戶目前不在線
級別: 管理員
精華: 0
發帖: 10692
威望: 11514 Exp
Dollar: 16149 NT
貢獻值: 10999 元
注冊時間:2005-07-12
最後登錄:2017-10-23

6/8 而後開始想要將被竄改的檔案刪掉
並以備用主機檔案覆蓋回去
結果意外的是,我用root居然無法刪除檔案,會出現Operation not permitted
chmod , chown也都沒有用
於是只好再度請出古狗大神
在辛苦的搜尋後找到這個網頁
http://www.douzhe.com/bbs/archiver/tid-2884.html
裡面提到了兩個特殊指令lsattr , chattr
這個指令可以修改檔案是否可以被移除,修改或是刪除
但又與chmod or chown不同
於是檢查過後發現檔案被植入sia三個permissions
於是將之移除並以原始檔案覆蓋回
為避免有漏網之魚
還用find / -user xxxxxxxx , find / -uid xxx 與 find / -gid xxx 檢查
果不其然於 /usr/sbin , /usr/bin , /usr/lib , /sbin , /etc 都找到疑似漏洞的設定檔案
以及被修改過的 top , ps , dir , ls , syslogd , pstree ..........
全數將之還原, 並重起伺服器

經過查詢,目前暫時回復狀態
但為求安全起見,將會於最近把伺服器格式化完全重灌
以策安全
頂端 Posted: 2007-06-08 09:51 | 1 樓
Demian
終身成就獎 優秀斑竹獎 宣傳大使獎 特殊貢獻獎 金點子獎 原創先鋒獎 貼圖大師獎 灌水天才獎 新人進步獎 幽默大師獎
該用戶目前不在線
級別: 論壇版主
精華: 0
發帖: 3
威望: 3 Exp
Dollar: 20 NT
貢獻值: 0 元
注冊時間:2005-07-09
最後登錄:2011-01-26

話說太久沒上來看,
真是個不稱職的版主....me.

呵...
真是辛苦kinbaku架server了,還要維護!

加油加油!
這個版越來越好囉!!!

看到一大堆沒看過的文章真是開心!
頂端 Posted: 2007-06-08 10:08 | 2 樓
野鷹
終身成就獎
該用戶目前不在線
級別: 管理員
精華: 0
發帖: 270
威望: 207 Exp
Dollar: 1570 NT
貢獻值: 100 元
注冊時間:2005-07-09
最後登錄:2015-12-22

還好 KINBAKU 有發現到
我已經及時改密碼了
感謝kinbaku用心的維護
朝向大道行
陽光處處照
頂端 Posted: 2007-06-08 10:42 | 3 樓
小獠


原創先鋒獎
該用戶目前不在線
級別: 榮譽會員
精華: 0
發帖: 583
威望: 318 Exp
Dollar: 10003169 NT
貢獻值: 9999999 元
注冊時間:2005-07-11
最後登錄:2011-09-24

我已經改密碼了 感謝Kinbaku 苦心經營這個站
MURDER IS IN THE AIR
UNDER THE TEMPLE OF
RA
DEATH AWAITS
ON THE FINAL
CURTAIN

小獠
頂端 Posted: 2007-06-10 07:42 | 4 樓
doggo


原創先鋒獎
該用戶目前不在線
級別: 榮譽會員
精華: 3
發帖: 568
威望: 389 Exp
Dollar: 3890 NT
貢獻值: 0 元
注冊時間:2005-07-12
最後登錄:2016-09-29

感謝!真是辛苦了!
頂端 Posted: 2007-06-11 09:57 | 5 樓
百戰天龍MacGyver討論區 » 工具,程式討論區

Total 0.020964(s) query 4, Time now is:10-24 19:17, Gzip enabled
Powered by PHPWind v5.3 Certificate Code © 2003-07 PHPWind.com Corporation