當主機被植入後門-另一個資安事件

最近我真是一個賽到不行，接二連三的遇到資安事件，昨天的DDOS資安事件是新的事件，上星期回老東家幫忙，因為換了主機之後，server被植入後門，但是後門在什麼東西都查不到，只知道他會用postfix這個user的身份來執行，指令只有一個字”S”，這個是舊事件了。

上星期就覺得整個狀況很怪，看了連線就有發現這樣的問題，抓到問題的指令很簡單，就是這個netstat -an | grep ESTABLISHED
發現72.10.160.204的6667 port一直在連我們的主機
再看看top的程式執行情況
我就下了兩個指令來擋這個IP
iptables -A OUTPUT -p tcp -d  72.10.160.204  -6DROP
iptables -A OUTPUT -p udp -d  72.10.160.204  -j D
好了沒三天，果然又換IP來連(應該說是換了IP回連主控站)，92.243.30.228/93.243.30.228，真的很討厭，不知道他還有多少的主控站，反正有規則，就把所有的6667 port擋起來吧！

狠一點，TCP/UDP全擋(雖然我知道他走的是TCP)

iptables -F
iptables -X
iptables -A FORWARD -o eth0 -p tcp –dport 6667 -j DROP
iptables -A FORWARD -o eth0 -p udp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A OUTPUT -o eth0 -p udp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p tcp –dport 6667 -j DROP
iptables -A INPUT -o eth0 -p udp –dport 6667 -j DROP

打完收工，除非他再換port，如果不行的話，我也管不了這麼多，新的資訊主管接回去自己管。另外，我也用了chrootkit去檢查rootkit，但是查不到，我也不知道原因，可能這隻後門太會躲了，只要它不要又三不五時發作一下，我是很懶的花這麼多力氣去把 它給糾出來(那台server已經不歸我管了！艾倫/瑞恩，你們先撐著，叫新主管想辦法！哈)。

隨機文章

• 從Dell網路商店連續網路標價錯誤 看Dell電腦危機處理 (2009-07-08)
• My Spam “procmail: Skipped “|/usr/bin/php -Cq /var/www/html/myspam/web/index.php save_spam” 問題處理 (2010-03-03)
• +00223319323 現在詐騙很專業 (2013-10-17)
• 最近測FB帳號申請 我發現另一個規則 (2016-12-08)
• 筆電使用IE上網出現藍屏死機 訊息 igdpmd64.sys或是igdpmd32.sys 或 PAGE_FAULT_IN_NONPAGED_AREA (2013-11-20)

隨機美圖