當主機被植入後門-另一個資安事件

最近我真是一個賽到不行，接二連三的遇到資安事件，昨天的DDOS資安事件是新的事件，上星期回老東家幫忙，因為換了主機之後，server被植入後門，但是後門在什麼東西都查不到，只知道他會用postfix這個user的身份來執行，指令只有一個字”S”，這個是舊事件了。

上星期就覺得整個狀況很怪，看了連線就有發現這樣的問題，抓到問題的指令很簡單，就是這個netstat -an | grep ESTABLISHED
發現72.10.160.204的6667 port一直在連我們的主機
再看看top的程式執行情況
我就下了兩個指令來擋這個IP
iptables -A OUTPUT -p tcp -d  72.10.160.204  -6DROP
iptables -A OUTPUT -p udp -d  72.10.160.204  -j D
好了沒三天，果然又換IP來連(應該說是換了IP回連主控站)，92.243.30.228/93.243.30.228，真的很討厭，不知道他還有多少的主控站，反正有規則，就把所有的6667 port擋起來吧！

狠一點，TCP/UDP全擋(雖然我知道他走的是TCP)

iptables -F
iptables -X
iptables -A FORWARD -o eth0 -p tcp –dport 6667 -j DROP
iptables -A FORWARD -o eth0 -p udp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p udp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p udp –dport 6667 -j DROP

打完收工，除非他再換port，如果不行的話，我也管不了這麼多，新的資訊主管接回去自己管。另外，我也用了chrootkit去檢查rootkit，但是查不到，我也不知道原因，可能這隻後門太會躲了，只要它不要又三不五時發作一下，我是很懶的花這麼多力氣去把 它給糾出來(那台server已經不歸我管了！艾倫/瑞恩，你們先撐著，叫新主管想辦法！哈)。

隨機文章

• session還是記錄一下時間比較好 (2009-02-27)
• 相差28歲師生戀修成正果　新郎比岳父還大2歲 (2007-11-24)
• 電子發票腦洞問題 (2020-12-02)
• NGINX 413 Request Entity Too Large (2016-08-12)
• nownews記者引用外電的功力真是弱到一個不行 (2014-04-23)

隨機美圖