中午發(fā)生如下情形我的機(jī)器有是不是被黑了了??

guozhongyan

網(wǎng)關(guān)發(fā)現(xiàn)上聯(lián)的網(wǎng)絡(luò)端口有異常流量

查看我的主機(jī),發(fā)現(xiàn)不停的在報(bào)這個(gè)錯(cuò)誤PING主機(jī)地址無(wú)法
Mar 31 12:32:37 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.3.38328: Decode the header of message failed: asn length too long
Mar 31 12:32:37 radius-host last message repeated 1 time
Mar 31 12:32:40 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.124.65378: Decode the header of message failed: asn length too long
Mar 31 12:32:40 radius-host last message repeated 1 time
Mar 31 12:32:41 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.178.38040: Decode the header of message failed: asn length too long
Mar 31 12:32:41 radius-host last message repeated 1 time
Mar 31 12:32:42 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.58.36007: Decode the header of message failed: asn length too long
Mar 31 12:32:42 radius-host last message repeated 1 time
Mar 31 12:32:42 radius-host /usr/lib/snmp/snmpdx: [ID 702911 daemon.error] error while receiving a pdu from 173.1.78.132.23222: Decode the header of message failed: asn length too long
Mar 31 12:32:42 radius-host last message repeated 1 time
Mar 31 12:32:43 radius-host snmpXdmid: [ID 334616 daemon.error] Error receiving PDU Decode the header of message failed: asn length too long.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 352064 daemon.error] Error receiving packet from agent; rc = -1.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 669004 daemon.error] Will attempt to re-establish connection.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 334616 daemon.error] Error receiving PDU Decode the header of message failed: asn length too long.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 352064 daemon.error] Error receiving packet from agent; rc = -1.
Mar 31 12:32:43 radius-host snmpXdmid: [ID 669004 daemon.error] Will attempt to re-establish connection.


把SNMPXDIMD進(jìn)程給KILL之后,地址就恢復(fù)響應(yīng)了

但我發(fā)現(xiàn)PRSTAT里面有一個(gè)進(jìn)程叫G3M的,占用滿了CPU.但詭異的是用PS -EF|GREP G3M,無(wú)法查到這個(gè)進(jìn)程,GREP進(jìn)程號(hào)也不行.只知道是用ROOT用戶起的,從什么路經(jīng)起用的就不知道了..

后來(lái)用FIND命令看到/usr/lib/有個(gè)/usr/lib/.../g3m的,把他更名后KILL掉所有的G3M的PID,CPU迅速的降下來(lái)了
==============================================
請(qǐng)問(wèn)是否我的機(jī)器被人當(dāng)作肉雞了?他怎么弄的?這個(gè)G3M有誰(shuí)碰到過(guò)是什么東東??

我已經(jīng)更改了所有賬戶的密碼,剔除出了所有PTS用WHO命令看到的登陸終端,后續(xù)我能做哪些防范?

現(xiàn)在我發(fā)現(xiàn)我的/var/adm/sulog內(nèi)每分鐘都會(huì)有一條root-radius(日常操作的賬戶)記錄,是不是代表這個(gè)入侵的人還在我的系統(tǒng)內(nèi)?

[ 本帖最后由 guozhongyan 于 2009-3-31 18:29 編輯 ]

easybegin

應(yīng)該是被人黑了，你的ps命令被人替換了，看不到真實(shí)的進(jìn)程.
請(qǐng)用/usr/ucb/ps -aux查看，這是Berkeley版的ps，一般黑客沒(méi)有替換他。
如果對(duì)方已經(jīng)獲得過(guò)root權(quán)限的話，最好看看他有沒(méi)有獲得rlogin權(quán)限，如果有的話，建議重裝系統(tǒng)、打最全的補(bǔ)丁。

guozhongyan

如何可以看出他有沒(méi)有RLOGIN的權(quán)限?
我已經(jīng)開啟了記帳功能來(lái)追蹤一下
另外如何關(guān)閉RLOGIN?

不進(jìn)一環(huán)

學(xué)習(xí)一下

這種清空多半是漏洞造成的吧，既然能替換ps，替換find、kill一類的也不難啊

guozhongyan

用開啟記帳功能,是不是可以看到?

guozhongyan

下面是開啟記帳功能后發(fā)現(xiàn)的行為,他到底準(zhǔn)備干嘛?

perl        root     __             0.12 secs Tue Mar 31 23:41
sh          root     __             0.01 secs Tue Mar 31 23:41
ping     S  root     __             0.00 secs Tue Mar 31 23:41
perl        root     __             0.11 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:41
ping     S  root     __             0.01 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:41
grep        root     __             0.00 secs Tue Mar 31 23:41
ifconfig S  root     __             0.00 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:41
grep        root     __             0.01 secs Tue Mar 31 23:41
ifconfig S  root     __             0.01 secs Tue Mar 31 23:41
sh        F root     __             0.00 secs Tue Mar 31 23:41
sh        F root     __             0.00 secs Tue Mar 31 23:41
perl        root     __             0.11 secs Tue Mar 31 23:41
sh          root     __             0.01 secs Tue Mar 31 23:41
netstat     root     __             0.00 secs Tue Mar 31 23:41
sh          root     __             0.01 secs Tue Mar 31 23:41
grep        root     __             0.00 secs Tue Mar 31 23:41
ifconfig S  root     __             0.00 secs Tue Mar 31 23:41
sh        F root     __             0.00 secs Tue Mar 31 23:41
sh          root     __             0.00 secs Tue Mar 31 23:40
locale      root     __             0.01 secs Tue Mar 31 23:40
perl        root     __             0.11 secs Tue Mar 31 23:40
sh          root     __             0.00 secs Tue Mar 31 23:40
ping     S  root     __             0.01 secs Tue Mar 31 23:40
sh          root     __             0.01 secs Tue Mar 31 23:40
grep        root     __             0.00 secs Tue Mar 31 23:40
ifconfig S  root     __             0.00 secs Tue Mar 31 23:40
sh        F root     __             0.00 secs Tue Mar 31 23:40
perl        root     __             0.05 secs Tue Mar 31 23:39
sh          root     __             0.00 secs Tue Mar 31 23:39
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:39
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:39
getent      root     __             0.00 secs Tue Mar 31 23:39
uname       root     __             0.01 secs Tue Mar 31 23:39
perl        root     __             0.11 secs Tue Mar 31 23:39
perl        root     __             0.11 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
ping     S  root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.00 secs Tue Mar 31 23:39
ping     S  root     __             0.01 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
perl        root     __             0.12 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
netstat     root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
perl        root     __             0.12 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
ping     S  root     __             0.00 secs Tue Mar 31 23:39
sh          root     __             0.01 secs Tue Mar 31 23:39
grep        root     __             0.00 secs Tue Mar 31 23:39
ifconfig S  root     __             0.00 secs Tue Mar 31 23:39
sh        F root     __             0.00 secs Tue Mar 31 23:39
perl        root     __             0.05 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:38
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:38
getent      root     __             0.01 secs Tue Mar 31 23:38
uname       root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.13 secs Tue Mar 31 23:38
perl        root     __             0.12 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
ping     S  root     __             0.00 secs Tue Mar 31 23:38
ping     S  root     __             0.00 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.11 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
netstat     root     __             0.01 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.11 secs Tue Mar 31 23:38
sh          root     __             0.00 secs Tue Mar 31 23:38
ping     S  root     __             0.01 secs Tue Mar 31 23:38
sh          root     __             0.01 secs Tue Mar 31 23:38
grep        root     __             0.00 secs Tue Mar 31 23:38
ifconfig S  root     __             0.00 secs Tue Mar 31 23:38
sh        F root     __             0.00 secs Tue Mar 31 23:38
perl        root     __             0.05 secs Tue Mar 31 23:37
sh          root     __             0.00 secs Tue Mar 31 23:37
csh      S  oracle8i __             0.02 secs Tue Mar 31 23:37
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:37
getent      root     __             0.01 secs Tue Mar 31 23:37
uname       root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
ping     S  root     __             0.00 secs Tue Mar 31 23:37
ping     S  root     __             0.00 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
grep        root     __             0.00 secs Tue Mar 31 23:37
grep        root     __             0.00 secs Tue Mar 31 23:37
ifconfig S  root     __             0.00 secs Tue Mar 31 23:37
ifconfig S  root     __             0.00 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
sh          root     __             0.00 secs Tue Mar 31 23:37
netstat     root     __             0.01 secs Tue Mar 31 23:37
sh          root     __             0.00 secs Tue Mar 31 23:37
grep        root     __             0.01 secs Tue Mar 31 23:37
ifconfig S  root     __             0.01 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl     S  root     __             0.08 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.11 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
ping     S  root     __             0.00 secs Tue Mar 31 23:37
sh          root     __             0.01 secs Tue Mar 31 23:37
grep        root     __             0.00 secs Tue Mar 31 23:37
ifconfig S  root     __             0.00 secs Tue Mar 31 23:37
sh        F root     __             0.00 secs Tue Mar 31 23:37
perl        root     __             0.06 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
csh      S  oracle8i __             0.02 secs Tue Mar 31 23:36
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:36
getent      root     __             0.01 secs Tue Mar 31 23:36
uname       root     __             0.00 secs Tue Mar 31 23:36
perl        root     __             0.12 secs Tue Mar 31 23:36
perl        root     __             0.12 secs Tue Mar 31 23:36
sh          root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
ping     S  root     __             0.00 secs Tue Mar 31 23:36
ping     S  root     __             0.00 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
grep        root     __             0.01 secs Tue Mar 31 23:36
ifconfig S  root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
grep        root     __             0.00 secs Tue Mar 31 23:36
ifconfig S  root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
perl        root     __             0.11 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
netstat     root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
grep        root     __             0.01 secs Tue Mar 31 23:36
ifconfig S  root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
csh      S  aiobs61  __             0.01 secs Tue Mar 31 23:36
monitoro    aiobs61  __             0.01 secs Tue Mar 31 23:36
wc          aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.01 secs Tue Mar 31 23:36
wc          aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.01 secs Tue Mar 31 23:36
wc          aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.00 secs Tue Mar 31 23:36
wc          aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
grep        aiobs61  __             0.00 secs Tue Mar 31 23:36
ps          aiobs61  __             0.00 secs Tue Mar 31 23:36
wc          aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.01 secs Tue Mar 31 23:36
grep        aiobs61  __             0.01 secs Tue Mar 31 23:36
ps          aiobs61  __             0.01 secs Tue Mar 31 23:36
perl        root     __             0.11 secs Tue Mar 31 23:36
sh          root     __             0.00 secs Tue Mar 31 23:36
ping     S  root     __             0.01 secs Tue Mar 31 23:36
sh          root     __             0.01 secs Tue Mar 31 23:36
grep        root     __             0.00 secs Tue Mar 31 23:36
ifconfig S  root     __             0.00 secs Tue Mar 31 23:36
sh        F root     __             0.00 secs Tue Mar 31 23:36
perl        root     __             0.05 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:35
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:35
getent      root     __             0.01 secs Tue Mar 31 23:35
uname       root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.11 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
ping     S  root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.11 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
ping     S  root     __             0.01 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
grep        root     __             0.00 secs Tue Mar 31 23:35
ifconfig S  root     __             0.00 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
grep        root     __             0.01 secs Tue Mar 31 23:35
ifconfig S  root     __             0.01 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.13 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
netstat     root     __             0.00 secs Tue Mar 31 23:35
sh          root     __             0.01 secs Tue Mar 31 23:35
grep        root     __             0.00 secs Tue Mar 31 23:35
ifconfig S  root     __             0.00 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.11 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
ping     S  root     __             0.01 secs Tue Mar 31 23:35
sh          root     __             0.00 secs Tue Mar 31 23:35
grep        root     __             0.01 secs Tue Mar 31 23:35
ifconfig S  root     __             0.01 secs Tue Mar 31 23:35
sh        F root     __             0.00 secs Tue Mar 31 23:35
perl        root     __             0.04 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:34
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:34
getent      root     __             0.00 secs Tue Mar 31 23:34
uname       root     __             0.01 secs Tue Mar 31 23:34
perl        root     __             0.13 secs Tue Mar 31 23:34
perl        root     __             0.11 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
ping     S  root     __             0.00 secs Tue Mar 31 23:34
ping     S  root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
perl        root     __             0.11 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
netstat     root     __             0.00 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
perl        root     __             0.11 secs Tue Mar 31 23:34
sh          root     __             0.00 secs Tue Mar 31 23:34
ping     S  root     __             0.01 secs Tue Mar 31 23:34
sh          root     __             0.01 secs Tue Mar 31 23:34
grep        root     __             0.00 secs Tue Mar 31 23:34
ifconfig S  root     __             0.00 secs Tue Mar 31 23:34
sh        F root     __             0.00 secs Tue Mar 31 23:34
perl        root     __             0.05 secs Tue Mar 31 23:33
sh          root     __             0.00 secs Tue Mar 31 23:33
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:33
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:33
getent      root     __             0.01 secs Tue Mar 31 23:33
uname       root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.11 secs Tue Mar 31 23:33
perl        root     __             0.12 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
ping     S  root     __             0.00 secs Tue Mar 31 23:33
ping     S  root     __             0.00 secs Tue Mar 31 23:33
sh          root     __             0.00 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.11 secs Tue Mar 31 23:33
sh          root     __             0.00 secs Tue Mar 31 23:33
netstat     root     __             0.01 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.11 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
ping     S  root     __             0.00 secs Tue Mar 31 23:33
sh          root     __             0.01 secs Tue Mar 31 23:33
grep        root     __             0.00 secs Tue Mar 31 23:33
ifconfig S  root     __             0.00 secs Tue Mar 31 23:33
sh        F root     __             0.00 secs Tue Mar 31 23:33
perl        root     __             0.06 secs Tue Mar 31 23:32
sh          root     __             0.00 secs Tue Mar 31 23:32
csh      S  oracle8i __             0.01 secs Tue Mar 31 23:32
lsnrctl     oracle8i __             0.02 secs Tue Mar 31 23:32
getent      root     __             0.00 secs Tue Mar 31 23:32
uname       root     __             0.01 secs Tue Mar 31 23:32