服务器疑似被入侵，怎么看这个文件执行了什么？

[zhongjun96]

今天上班发现公司网页无法访问，排查后发现是服务器 /var/log 被清空，导致 nginx 无法启动。

进一步排查发现 history和 last 被清空。被安装了 python3 ，npm
添加了两个 cron 任务

@reboot /usr/bin/sshu > /dev/null 2>&1 & disown
@monthly /usr/bin/sshu > /dev/null 2>&1 & disown

sshu 文件地址_Github

新增了两个用户 bash 和 server

怎么看这个文件执行了什么？

[ekucn]

@julyclyde 他说的是 ssh 最新的那个漏洞，这个漏洞用的指针回写碰撞，32 位很容易，64 位难度上升几个指数，确实 64 位不容易入侵。

[julyclyde]

@ekucn 学习了

[Paulownia]

楼主把地址公布了，让大家给你众测一下吧，哈哈哈哈