LINUX.ORG.RU
Форум — Security  

востановление после взлома


0

0
Стоял, никому не мешал небольшой сервер фирмы. ССХ и НАТ на нем крутился. На прошлой неделе поднял на нем SMTP/IMAP и по всей видимости стало началом конца. Вчера его ломанули. Грубовато, следы не заметены. В логах ссх видно что зашел рут (хотя ему доступа нет). Сам /usr/sbin/sshd подменили. Собственно вопрос, что делать? Переставлять систему или можно подчистить? Если чистить то что?

Да и похоже какой-то резидент в системе. Потому что

$ stat /usr/sbin/sshd

...

Access: (0777/-rwxrwxrwx)

$ rm -f /usr/sbin/sshd

rm: cannot remove /usr/sbin/sshd: Operation notpermitted

★★
← iptables: No chain/target/match by that name
DDos на Apache →
переставлять
anonymous
()
Читать FAQ этого раздела, потом переставлять.
dn2010 ★★★★★
()
Вопрос не совсем в тему. Что за дистр/версия и что за SMTP/IMAP?
anonymous
()
> Собственно вопрос, что делать? Переставлять систему или можно подчистить? Если чистить то что?

Полный reinstall, включая загрузчик.

birdie ★★★★★
()
Ответ на: комментарий от Valmont
> Вопрос не совсем в тему. Что за дистр/версия и что за SMTP/IMAP?

Debian etch, Smtp - postfix, imaps/pops - dovecom .

mrco ★★
() автор топика
Ответ на: комментарий от mrco
Поздноватый комментарий, но имело бы смысл сначала сделать образ диска, чтобы потом понять, через что поимели систему. Наверно дырка была или в ядре или в каких-нибудь смежных сервисах/библиотеках. Вряд ли это сами smtp/pop3/imap. Хотя, конечно, могут быть другие различные варианты - типа утечки рутового пароля тем или иным образом или "специфика конфигурации".

Valmont ★★★
()
Чтоб удалить файл, надо не на него смотреть права, а на каталог. Кроме того, вывод больше похож на то, что поменяли extended attributes. Смотреть lsattr.

А по теме, то можно и вылечить, но IMHO в данном случае проще сохранить данные (только!), настройки (все!) сохранить отдельно и пересмотреть очччень внимательно. Естественно, пока будет переустанавливаться система.

sstass
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← iptables: No chain/target/match by that name
Security
DDos на Apache →