LINUX.ORG.RU
Форум — Security  

отследить, какой процесс изменяет файлы в /bin


0

0
Похоже, один из моих хостов сломали - в /bin файлы типа grep,true,touch,awk заменены (по крайней мере в последнем бекапе другие версии) - видно это сразу, так как размер файлов различается.

Что самое интересное, при перезаписи этих файлов файлами из бекапной копии, они через минуту другую опять становятся чужими (другого размера).

Каким образом можно отследить, какой процесс перезаписывает эти файлы?

anonymous
← проблема с безопасностью в beryl (X11), порт 6001 и xhost авторизаци
Какой алгоритм использует Firefox для симметричного шифрования в TLS? →
Попробуй для начала lsof и посмотреть конфиг cron-демона.
signal
()
политики selinux не помогут ? ;)
anonymous
()
Ответ на: комментарий от anonymous
действительно, нашелся руткит L-что-то-V5, создающий в /lib файлы lidsh.so и директорию /lib/libsh.so/ в которой ssh сервер с сключами и шелл (и в /usr/lib/ чтото подобное)

правда подключится к хосту все равно бы не получилось, так как неиспользуемые порты были закрыты файрволом.

к сожалению, удаление библиотек не спасло от постоянных изменений файлов в /bin у файлов распухает размер на ~12kb и время модификации меняется на текущее

lsof на эти файлы ничего не давал, в кроне тоже ничего не вызывалось подозрительного...

в общем, в целях минимизации потерь времени, буду переливать машину с нуля, с последнего чистого бекапа

anonymous
()
Ответ на: комментарий от anonymous
Оффтопик, конечно, но неплохо бы ещё понять, откуда и почему этот руткит взялся. Всё ж нерядовое событие
router ★★★★★
()
Ответ на: комментарий от router
Это как раз просто :( забыли поставить usePAM no в конфиг sshd_config

в результате возможность логинов по паролям осталась, несмотря на отключенный passwordauth.

в результате подобрали рутовый пароль

обычно же удаленные подключения возможны лишь по ключам.

anonymous
()
Ответ на: комментарий от lodin
так было настроено - при отсутствии парольной аутентификации (использование только ключей), ситуация считалась достаточно безопасной.
anonymous
()
мда.. решили выпендрица с ключами а так запаролись :) fail2ban || -m recent + запрет логина рута по ссх и все..
Somewho ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← проблема с безопасностью в beryl (X11), порт 6001 и xhost авторизаци
Security
Какой алгоритм использует Firefox для симметричного шифрования в TLS? →