當主機被植入後門-另一個資安事件

最近我真是一個賽到不行，接二連三的遇到資安事件，昨天的DDOS資安事件是新的事件，上星期回老東家幫忙，因為換了主機之後，server被植入後門，但是後門在什麼東西都查不到，只知道他會用postfix這個user的身份來執行，指令只有一個字”S”，這個是舊事件了。

上星期就覺得整個狀況很怪，看了連線就有發現這樣的問題，抓到問題的指令很簡單，就是這個netstat -an | grep ESTABLISHED
發現72.10.160.204的6667 port一直在連我們的主機
再看看top的程式執行情況
我就下了兩個指令來擋這個IP
iptables -A OUTPUT -p tcp -d  72.10.160.204  -6DROP
iptables -A OUTPUT -p udp -d  72.10.160.204  -j D
好了沒三天，果然又換IP來連(應該說是換了IP回連主控站)，92.243.30.228/93.243.30.228，真的很討厭，不知道他還有多少的主控站，反正有規則，就把所有的6667 port擋起來吧！

狠一點，TCP/UDP全擋(雖然我知道他走的是TCP)

iptables -F
iptables -X
iptables -A FORWARD -o eth0 -p tcp –dport 6667 -j DROP
iptables -A FORWARD -o eth0 -p udp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p udp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p udp –dport 6667 -j DROP

打完收工，除非他再換port，如果不行的話，我也管不了這麼多，新的資訊主管接回去自己管。另外，我也用了chrootkit去檢查rootkit，但是查不到，我也不知道原因，可能這隻後門太會躲了，只要它不要又三不五時發作一下，我是很懶的花這麼多力氣去把 它給糾出來(那台server已經不歸我管了！艾倫/瑞恩，你們先撐著，叫新主管想辦法！哈)。

隨機文章

• [名詞解釋] IDC(Internet Data Center) (2008-01-12)
• 真的會被3.5G給搞瘋掉 (2009-12-10)
• FCKeditor PHP調用筆記 (2009-05-04)
• Proxmox VE 6.2 安裝在 HP Probook 4441s 安裝異常排除 (2021-01-10)
• Bing(必應)搜尋引擎蜘蛛就是這樣把網站給咬掛了 (2014-11-11)

隨機美圖