Взлом сервера

Предположительно это был словарный перебор по SSH. Проверьте пароли при помощи john.

А что могло переписать - так это зависит от того, какой из аккаунтов был взломан. Надеюсь, для root у вас ssh login был закрыт. Если нет - переставляйтесь, т.к. user от которого это было запущено вам неизвестен , а значит гарантий никаких нет.

Скорее всего, взлои был через уязвимое web-приложение, установленное на сервере. С большой долей вероятности могу утверждать, что через php-скрипты.

http://www.linux.org.ru/jump-message.jsp?msgid=1034211

надо набрать ps -ax и внимательно посмотреть (на наличие пустых строк)

>надо набрать ps -ax и внимательно посмотреть (на наличие пустых строк)
что именно понимается под пустой строкой?
именно пустая или неполная?

меня не ломали, но вопрос интересный - потому и спрашиваю ;)

Лучше всего сохранить слепок со взломанной системы для дальнейшего изучения и восстановитья с неповреждённого бакапа..

Если чистить на ходу, то следует обратить внимание на запущенные процессы.. странные соединения.. необычные ядерные модули.. необычные изменения в файловых системах.. просмотри history.. просмотри логи.. проверь все странные пользовательские аккаунты в системе.. Поменяй пароли, всему, чему возможно... Иногда помогает изучение системы при загрузке с подходящего LiveCD... Вообщем, это процесс долгий и пропотливый..

Скорее всего влезли действительно через http, хотя, через ssh тоже есть вероятность, но меньшая..

Спасибо всем за участие в обсуждении проблемы. Конечно руту в ssh доступ был запрещен. По логам видела, что действительно шел перебор имен для доступа по ssh, но успешной попытки не было. Подозрение на вторжение через http, но утверждать точно не могу, поскольку удаленно работают на сервере разработчики сайта, возможно следы в логах их. Еще вариант проникновения через анонимный прокси. Если интересно, то попозже напишу, что было. Я тоже работаю удаленно на этом сервере, но пока он выключен для доступа и мне придется идти к физическому месту расположения. Но все-таки, что за программа mech (архив mech.tgz)и архив xpl.tar.gz? В интернете не нашла ответа.

очень умнО было что-то стирать и вообще что-то менять.

неужели нельзя было сначала выключить сервер, а потом тут спросить? =)

можно почитать тут: http://ivlad.unixgods.net/inc-resp.shtml

mech.tgz я нашел, похоже, это http://www.energymech.net/

xpl.tar.gz - это какой-то эксплоит, но так много чего называют.

history и /var/log/* сохранились или тоже потерты?

Действительно с тем, что убила файлы, я ступила. hystory Следов не оставил, а логи не потерты. Сейчас зайду на предложенные вами сайты.

логи сложите куда-нибудь на посмотреть. можно мне в мыло. ivlad malpaso ru. можно убрать там доменное имя, хотя я все равно вижу, откуда вы пришли.

21й век на дворе а они до сих пор логинятся по паре логин/пароль... Аппаратные ключи - это фантастика, конечно же