在例行维护中有台linux server 运行缓慢,我注意到inetd.conf的末尾出现一条奇怪的纪录。
netstat stream tcp nowait root  /usr/lib/netstat netstat
这条纪录看上去不对。我就检查了和这台机器一同安装的机器，结果没有发现有这一行。这时CPU达到了100%利用率。接着用nc程序，将文件ps,netstat ,ls,top,从我怀疑的机器copy到了安全无故障的机器上。通过对比MD5，发现程序没有问题。排除了rootkit.那CPU利用率高怎么解释?这时候想起来看看日志.有个疑点,从3月18日到3月28日期间,在/var/log/secure中没有任何登陆纪录.,而那几天我肯定登陆机器了.而删除log需要root权限,从而断定系统被攻破.我只好在交换机上作SPAN,把故障机器的流量镜想到安装协议分析的电脑上.我们看看nmap稍描得结果:
laptop#nmap -sS -pl -O 192.168.0.1
有很多服务显示"unknown"先纪录下来,稍后处理.然后我运行lsof,把系统中打开着的传输层网络文件描述符列出.
#lsof egrep "TCP|UDP"
结果发现一些东西在TCP端口3457,32411上监听,我们再用ngrep来显示流经32411的TCP流量.
用mactime程序发现了可疑点, /mount/lib/modules/2.4.18.3/net/ipv6.0 209 .a. -rwx------ root root我知道这台机器没装ipv6协议.用strings程序看看ipv6.o的二进制文件本生更显示
#string ipv6.0
.............
另外我还注意到一个inode被该动
# diff rc.local  /etc/rc.d/rc.local/  36d35  < /usr/sbinb/initd
initd也是shell程序,我们看看实际内容
# cat  /usr/sbin/initd/
发现其中有一行 /sbin/insmod -f /lib/modules /2.4.18.3/net/ipv6.0 > /dev/null 2 >/dev/null
/usr/sbin/rpc.status,随后我又检查了rpc.status.为深入了解rpc.status功能需要执行反汇编.我已有足够的信息知道里面发现的事情了.