至顶网›网络频道 ›一次惊心动魄的linux肉鸡入侵检测经历

一次惊心动魄的linux肉鸡入侵检测经历

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

这是一篇网友的亲身经历，从中我们或许能学习一些东西，希望对大家有所帮助。

作者：51cto 2007年10月12日

关键字：

看到这里，我忍不住ps和netstat了一下，发现了这两个东西

引用:

root15840.00.0185268?SNov170:00/sbin/ttyload-q
root15860.00.01500168?SNov170:26ttymontymon
[root@victimroot]#netstat-anp
ActiveInternetconnections(serversandestablished)
ProtoRecv-QSend-QLocalAddressForeignAddressStatePID/Programname
tcp000.0.0.0:313380.0.0.0:*LISTEN1584/ttyload
tcp000.0.0.0:800.0.0.0:*LISTEN1702/httpd
tcp000.0.0.0:220.0.0.0:*LISTEN1516/sshd
tcp00127.0.0.1:250.0.0.0:*LISTEN1540/
raw000.0.0.0:10.0.0.0:*71586/ttymon
raw131200.0.0.0:10.0.0.0:*71586/ttymon

我们注意一下pid为1584和1586的两个进程，它们一个开了31338端口，一个起了rawsocket，估计两个都是后门，一个bindport的，一个是sniffer的后门，接着我们lsof看看,呵呵，都现形了吧。

引用:

[root@victimroot]#lsof-n-p1584
COMMANDPIDUSERFDTYPEDEVICESIZENODENAME
31584rootcwdDIR8,340962/
31584rootrtdDIR8,340962/
31584roottxtREG8,3652620212994/tmp/sh-DJYK3MJABRP(deleted)-->这个是upx压缩后的特征之一。
31584rootmemREG8,310304412828674/lib/ld-2.3.2.so
31584rootmemREG8,39160412828689/lib/libnsl-2.3.2.so
31584rootmemREG8,32366812828683/lib/libcrypt-2.3.2.so
31584rootmemREG8,31269612828711/lib/libutil-2.3.2.so
31584rootmemREG8,3153106413991938/lib/tls/libc-2.3.2.so
31584root0uCHR1,367051/dev/null
31584root1uCHR1,367051/dev/null
31584root2uCHR1,367051/dev/null
31584root3uIPv41798TCP*:31338(LISTEN)
[root@victimroot]#lsof-n-p1586
COMMANDPIDUSERFDTYPEDEVICESIZENODENAME
ttymon1586rootcwdDIR8,340962/
ttymon1586rootrtdDIR8,340962/
ttymon1586roottxtREG8,39347643663399/sbin/ttymon
ttymon1586rootmemREG8,310304412828674/lib/ld-2.3.2.so
ttymon1586rootmemREG8,35247212828695/lib/libnss_files-2.3.2.so
ttymon1586rootmemREG8,3153106413991938/lib/tls/libc-2.3.2.so
ttymon1586root3uraw179900000000:0001->00000000:0000st=07

验证一下那两个后门：

[root@victimroot]#nclocalhost31338
SSH-1.5-2.0.13

明显，这个ssh后门，估计是读那个/etc/sh.conf作为密码的。rawsocket那个我暂时想不到咱们验证，因为一来不知道他抓的什么包，icmportcp，二来也不知道他抓的包的特征。霸王硬上弓吧。先执行一下。

一次惊心动魄的linux肉鸡入侵检测经历

VIP专区

VIP用户

普通用户

闂傚倸鍊风欢锟犲矗鎼淬劌绐楅柡鍥╁亹閺嬪酣鏌曡箛瀣仾濠殿垰銈搁弻鏇＄疀鐎ｎ亖鍋撻弽顓ㄧ稏闁跨噦鎷�

婵犵數濮烽。浠嬪焵椤掆偓閸熷潡鍩€椤掆偓缂嶅﹪骞冨Ο璇茬窞闁归偊鍓涢悾娲⒑闂堟单鍫ュ疾濠婂嫭鍙忔繝濠傜墛閸嬨劍銇勯弽銊с€掗柟钘夊暣閺岀喖鎮滈埡鍌涚彋閻庤娲樺畝绋跨暦閸洖鐓涢柛灞剧矋濞堟悂姊绘担绛嬪殐闁搞劋鍗冲畷銏ゅ冀椤愩儱小闂佹寧绋戠€氼參宕伴崱妯镐簻闁靛牆鎳庢慨顒€鈹戦埥鍡椾簼婵犮垺锚铻炴俊銈呮噺閸嬪倹绻涢崱妯诲碍閻庢艾顦甸弻宥堫檨闁告挾鍠庨锝夘敆娓氬﹦鐭楁繛鎾村焹閸嬫捇鏌ｅ☉娆愬磳闁哄本绋戦埞鎴﹀川椤曞懏鈻婄紓鍌欑劍椤ㄥ懘鎯岄崒鐐靛祦閹兼番鍔岄悞鍨亜閹烘垵顏╅悗姘槹閵囧嫰寮介妸褎鍣ョ紓浣筋嚙濡繈寮婚悢纰辨晣鐟滃秹鎮橀懠顒傜＜閺夊牄鍔庣粻鐐烘煛鐏炶姤鍠橀柡浣瑰姍瀹曠喖顢橀悩铏钒闂備浇宕垫慨鎶芥⒔瀹ュ鍨傞柦妯猴級閿濆绀嬫い鏍ㄧ☉濞堟粓姊虹涵鍛【妞ゎ偅娲熼崺鈧い鎺嗗亾闁挎洩濡囧Σ鎰板籍閸繄顓洪梺缁樺姇瀵剙螖閸涱喚鍘搁梺鍓插亽閸嬪嫰鎮橀敃鍌涚厱閻庯綆鍋嗘晶顒傜磼閸屾稑绗ч柟鐟板閹煎湱鎲撮崟闈涙櫏闂傚倷绀侀幖顐も偓姘卞厴瀹曞綊鏌嗗鍛紱閻庡箍鍎遍ˇ浼村磿瀹ュ鐓曢柡鍥ュ妼婢ь垰霉閻樿秮顏堟箒闂佹寧绻傚Λ妤呭煝閺囥垺鐓冪憸婊堝礈濮樿泛钃熼柕濞у嫷鍋ㄩ梺缁樺姇椤曨參鍩㈤弴銏″€甸柨婵嗗€瑰▍鍥ㄣ亜韫囨稐鎲鹃柡灞炬礋瀹曢亶顢橀悢濂変紦

重磅专题

往期文章

一次惊心动魄的linux肉鸡入侵检测经历

业界热点: