當主機被植入後門-另一個資安事件

最近我真是一個賽到不行，接二連三的遇到資安事件，昨天的DDOS資安事件是新的事件，上星期回老東家幫忙，因為換了主機之後，server被植入後門，但是後門在什麼東西都查不到，只知道他會用postfix這個user的身份來執行，指令只有一個字”S”，這個是舊事件了。

上星期就覺得整個狀況很怪，看了連線就有發現這樣的問題，抓到問題的指令很簡單，就是這個netstat -an | grep ESTABLISHED
發現72.10.160.204的6667 port一直在連我們的主機
再看看top的程式執行情況
我就下了兩個指令來擋這個IP
iptables -A OUTPUT -p tcp -d  72.10.160.204  -6DROP
iptables -A OUTPUT -p udp -d  72.10.160.204  -j D
好了沒三天，果然又換IP來連(應該說是換了IP回連主控站)，92.243.30.228/93.243.30.228，真的很討厭，不知道他還有多少的主控站，反正有規則，就把所有的6667 port擋起來吧！

狠一點，TCP/UDP全擋(雖然我知道他走的是TCP)

iptables -F
iptables -X
iptables -A FORWARD -o eth0 -p tcp –dport 6667 -j DROP
iptables -A FORWARD -o eth0 -p udp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p udp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p udp –dport 6667 -j DROP

打完收工，除非他再換port，如果不行的話，我也管不了這麼多，新的資訊主管接回去自己管。另外，我也用了chrootkit去檢查rootkit，但是查不到，我也不知道原因，可能這隻後門太會躲了，只要它不要又三不五時發作一下，我是很懶的花這麼多力氣去把 它給糾出來(那台server已經不歸我管了！艾倫/瑞恩，你們先撐著，叫新主管想辦法！哈)。

隨機文章

• Chrome browser mand a you a lot of 404 error. (2011-09-20)
• 使用Windows Server別給自己找麻煩？Amazon EC2免費雲端 (2013-02-18)
• 電影-同床異夢 (2007-11-17)
• WordPress 3.5版把鏈結管理拿掉了 (2013-01-18)
• 鼎新 ERP發信通知機制 實在有夠爛的 (2019-04-19)

隨機美圖