TWed2k - Linux交流 - 我用的伺服器中病毒了，不知道怎麼辦？

主題: 我用的伺服器中病毒了，不知道怎麼辦？ [打印本頁]

發表人: Mei_1004 時間: 2007-7-8 05:49 PM 主題: 我用的伺服器中病毒了，不知道怎麼辦？

我自己在家所用的ＬＩＮＵＸ伺服器，中華電信告訴我說，由他們所偵測出來，此伺服器已感染了病毒，叫我們處理，我不知是那種病毒，可否知道如何查出是何種病毒？

發表人: yin540 時間: 2007-7-9 12:43 AM

先看一下/var/log裡面有哪個log檔異常大....

或者看一下netstat裡面哪個port有大量異常的連線

要知道是哪個daemon中獎才有辦法對症下藥阿

(我猜應該是mail server沒設定好比較有可能,被人家拿來當跳板了)

發表人: innova 時間: 2007-7-9 01:38 PM

用 root login
# netstat -anpt
他會把連線狀況列出來
最後面還會有該連線的程式 pid及程式名
如果你在 ps axf 裡面看不到該 proc.名也找不到該pid
那... 你機器裡的 ps程式已經被動過手腳了!
如果手邊還有別台 "確定乾淨"的 Linux
可以copy 那台機器上面的 /bin/ps 過來看
* copy 過去別忘了 chmod a+x *

確定被駭, 就先把網路拔掉吧, 免得重要資料流出去, 更免得好不容易清除掉的`東西`又被'改回來'...

ps, 如果該機器是當 NAT用, 中毒的有可能並不是/不只那一台!!!
ps2, 若有跑驢子等p2p程式也有機會會被誤判為中毒! (因為網路連線會異常的快速/大量!)

發表人: Mei_1004 時間: 2007-7-10 08:27 PM

非常感謝以上兩位的回答...我會去試試看的... 因為之前這是有朋友幫忙架的, 所以不大清楚.. 我會試著用... 然後有問題的話我再來問問看... 再次感謝~

發表人: innova 時間: 2007-7-11 11:37 AM

這部機器有提供 Mail Services 嗎？

如果是朋友幫忙架的,
有可能他在外部測試 mail 功能老是連不上
所以把 Mail relay 功能功能打開
測試完忘了關掉
所以很有可能變成別的病毒/廣告商的 Mail Relay 跳板

..... 因為... 我也幹過這種蠢事.... -_-"

發表人: yin540 時間: 2007-7-11 01:56 PM

我之前遇過的是....同一個gateway下有windows中獎了....然後因為本來是設x.x.x.0/24可以寄信

所以被拿來當跳板狂寄廣告信

不過我是因為/var先被塞爆了才發現...

因為我是設沒有本機帳號的信就退回....這個洞被拿來利用了

後來乾脆改成x.x.x.x/32才能寄,有要寄的用webmail來用才算解決

發表人: innova 時間: 2007-7-11 03:19 PM

設定 SASL 應該就可以擋掉大多數病毒/廣告Relay了？ (包含 LAN及WAN)
需要有該主機的帳號'及密碼' 才能寄信
所以不在 LAN裡, 人在家裡/國外旅遊出差也可以正常寄信

Ref:
http://webmail.ltc.edu.tw/outlook/

歡迎光臨 TWed2k (http://twed2k.org/)