服务器中病毒了？求解

[magicsilence]

服务器redhat
--
1. 进程任意远程地址建立大量TCP链接，消耗系统资源。 远程地址隔一段时间更换。

2. 启动文件位于/usr/bin/ 或者/bin下。 杀掉进程，删除文件后，会再生成新命名的文件位于/usr/bin/ 或者/bin 下。

3. 病毒进程都是root启动. 父进程ID 为1

[Septembers]

不合格的问题 - 背景信息太少

[magicsilence]

@Septembers 还需要什么信息， 我再补充

[Septembers]

@magicsilence 病毒样本, 进程(ps aux), 网络状态(netstat -an), 系统版本

[kiritoalex]

可以参考Linux Rootkit病毒清除指南

[Kirscheis]

这感觉明显当肉鸡了。
建议贴个ps aux来看看，
基本上考虑备份重装吧。

[des]

重装吧，除非你有自信能完全清除

[lincanbin]

重装，别用弱口令。
最好用私钥登陆，登陆端口改掉防止扫描。

[Tianpu]

这会ps netstat什么的 已经完全不可靠了 至少不能当作可靠的命令了
可以先下载可靠的系统命令 再进一步处理 当然下载也不可靠了
因为现在确定不了哪个命令是未感染的

觉得这个时候最重要的是备份下数据吧

系统当作已经废了 格盘重装系统吧

[magicsilence]

已经搞定，问题同： http://blog.chinaunix.net/uid-20332519-id-4941140.html

谢谢楼上各位。