Sudo -взлом

и еще вопросик, нашел странный процесс - sh -c ps --cols 500 -eo user,ruser,group,rgroup,pid,ppid,pgid,pcpu,vsz,nice,etim... может ето и есть взлом?...

А чем Вы его нашли, этот процесс? Есть шанс, что это хитрый алиас и ps (или гуй к нему) себя же и отобразил.

>каких логах глянуть кто логинился в шелл

last

Ребята подскажите как вычилсить кто пхнется в Sudo где глянуть с какого UID идет запрос на Sudo. user=named это я так понимаю идет запрос на юзера=named , причем єти мессаги через каждіе 2 сек похоже что ктото бурфорсит....

Смотрел в своих логах вчера (сделал судо от тестового юзверя, к-рому низзя). Нет, это юзер named брутфорсит, а скорее всего это глупый троянец, который считает, что судо беспарольное. Т.к. пароля у named не должно быть по умолчанию. (потому failed).

Кстати, а какие эксплойты на эту тему могли быть за последнее время?

Вероятно, стОит перегрузить машину с прибитым named. Если проблема исчезла, вам повезло -- шелла у предполагаемого злодея (вероятно) пока (пока!!) нет.

ЗЫ Пусть меня лучше гуру поправят, ибо я сам в этом разбираюсь постольку поскольку, ламер короче.