linux服务器被当肉鸡过程_linux 被 串改的 过程

五、问题验证

到这里工作才进行了一半，现在只是把占用网络的进程给制止住了，但是rootkit病毒和特洛伊病毒植入不会这么简单就让你清除的。于是在网上搜索了一下相关的文章，发现很多人员也遇到过这种问题，只是进程名字模拟的不一样罢了，稍微其他文件夹下的有稍微不同，不过大体的原理都差不多，先是把你检测的查证的linux原生命令替换掉，例如：ps lsof netstat ss ifconfig 现在我发现的只是这几个，其余的不知道是不是还有只是我没有发现，这就不好说了。
按照前人的经验跟据他们的找到的一些东西走，也可以修复很多。例如
1、简单判断有无木马
有无下列文件
cat/etc/rc.d/init.d/selinux
cat/etc/rc.d/init.d/DbSecuritySpt
ls/usr/bin/bsd-port
ls/usr/bin/dpkgd
查看大小是否正常
ls-lh /bin/netstat
ls-lh /bin/ps
ls-lh /usr/sbin/lsof
ls-lh /usr/sbin/ss
2、上传如下命令到/root下
ps netstat ss lsof
3、删除如下目录及文件
rm-rf /usr/bin/dpkgd(ps netstat lsof ss)
rm-rf /usr/bin/bsd-port #木马程序
rm-f /usr/bin/.sshd #木马后门
rm-f /tmp/gates.lod
rm-f /tmp/moni.lod
rm-f /etc/rc.d/init.d/DbSecuritySpt(启动上述描述的那些木马变种程序)
rm-f /etc/rc.d/rc1.d/S97DbSecuritySpt
rm-f /etc/rc.d/rc2.d/S97DbSecuritySpt
rm-f /etc/rc.d/rc3.d/S97DbSecuritySpt
rm-f /etc/rc.d/rc4.d/S97DbSecuritySpt
rm-f /etc/rc.d/rc5.d/S97DbSecuritySpt
rm-f /etc/rc.d/init.d/selinux(默认是启动/usr/bin/bsd-port/getty)
rm-f /etc/rc.d/rc1.d/S99selinux
rm-f /etc/rc.d/rc2.d/S99selinux
rm-f /etc/rc.d/rc3.d/S99selinux
rm-f /etc/rc.d/rc4.d/S99selinux
rm-f /etc/rc.d/rc5.d/S99selinux
4、找出异常程序并杀死

5、删除含木马命令并重新安装(或者把上传的正常程序复制过去也行)
我自己重新安装好像不行，我是找的正常的机器复制的命令。
ps
/root/chattr-i -a /bin/ps&& rm/bin/ps-f
yum reinstall procps -y 或 cp/root/ps/bin
netstat
/root/chattr-i -a /bin/netstat&& rm/bin/netstat-f
yum reinstall net-tools -y 或 cp/root/netstat/bin
lsof
/root/chattr-i -a /bin/lsof&& rm/usr/sbin/lsof-f
yum reinstall lsof-y 或 cp/root/lsof/usr/sbin
ss
/root/chattr-i -a /usr/sbin/ss&& rm/usr/sbin/ss-f
yum -y reinstall iproute 或 cp/root/ss/usr/sbin

六、杀毒工具扫描

1、安装杀毒工具clamav
yum -y installclamav clamav-milter
2、启动服务
service clamd restart
3、更新病毒库
由于ClamAV不是最新版本，所以有告警信息。可以忽略或升级最新版本。
[root@mobile ~]# freshclam
ClamAV update process started at Sun Jan 31 03:15:52 2016
WARNING: Can’t query current.cvd.clamav.net
WARNING: Invalid DNS reply. Falling back to HTTP mode.
Reading CVD header (main.cvd): WARNING: main.cvd not found on remote server
WARNING: Can’t readmain.cvd header from db.cn.clamav.net (IP: 185.100.64.62)
Trying again in5 secs…
ClamAV update process started at Sun Jan 31 03:16:25 2016
WARNING: Can’t query current.cvd.clamav.net
WARNING: Invalid DNS reply. Falling back to HTTP mode.
Reading CVD header (main.cvd): Trying host db.cn.clamav.net (200.236.31.1)…
OK
main.cvd is up to date(version: 55, sigs: 2424225, f-level: 60, builder: neo)
Reading CVD header (daily.cvd): OK (IMS)
daily.cvd is up to date(version: 21325, sigs: 1824133, f-level: 63, builder: neo)
Reading CVD header (bytecode.cvd): OK (IMS)
bytecode.cvd is up to date(version: 271, sigs: 47, f-level: 63, builder: anvilleg)
4、扫描方法
可以使用clamscan -h查看相应的帮助信息
clamscan -r /etc–max-dir-recursion=5 -l /root/etcclamav.log
clamscan -r /bin–max-dir-recursion=5 -l /root/binclamav.log
clamscan -r /usr–max-dir-recursion=5 -l /root/usrclamav.log
clamscan -r –remove /usr/bin/bsd-port
clamscan -r –remove /usr/bin/
5、查看日志发现
把发现的命令删掉替换正常的

7、后续

虽然重启之后，大概运行了3–4个月没有出现这个问题，但是还是有点小担心，毕竟系统文件那么多，真是种下一个小木马或者什么的，我们真的很难发现。最好的情况还是如果有可能尽可能把系统重装一遍，这样可以保证系统是真的“干净”。重装完之后一定安全方面加大防护。经过这件事情之后，对安全方面着重很多。

8、系统安全优化

起因是因为远程暴力破解，导致病毒植入。所以我们第一步要防止远程暴力破解。
1、ssh远程连接是默认端口22（这个是个程序员都应该知道）,默认的root用户是可以登录的，所以就这两个方面就会导致系统及其不安全。
2、我们要修改ssh连接的配置文件
vi /etc/ssh/sshd_config
找到#Port 22一段，这里是标识默认使用22端口，修改为如下：
Port 22
Port xxxx（要填具体port口号） （直接在后面添加即可，防止因为其他情况导致 不可用，所以先保留22端口）然后保存退出。
执行/etc/init.d/sshd restart
这样SSH端口将同时工作与22和xxxx上。
现在编辑防火墙配置：vi /etc/sysconfig/iptables
启用xxxx端口。
service iptables save
service iptables restart
现在只能使用ssh工具连接xxxx端口，来测试是否成功。如果连接成功了，则再次编辑sshd_config的设置，将里边的Port22删除，即可。
之所以先设置成两个端口，测试成功后再关闭一个端口，是为了方式在修改conf的过程中，万一出现掉线、断网、误操作等未知情况时候，还能通过另外一个端口连接上去调试以免发生连接不上必须派人去机房，导致问题更加复杂麻烦。
以上就是Linux SSH默认22端口的修改方法。