VSP被入侵,如何善后?

2013-10-24 23:00:36 +08:00
 looz
昨天VPS被入侵,postgresql数据库被破坏,数据文件全被删掉了。今晚查了下,发现入侵者是通过postgres账户进来的,/var/lib/postgresql/目录下的内容全被干掉。并丢下了一个程序包。粗略分析,发现这家伙用了一个进程伪装程序,并且启动了一个irc客户端连接到irc服务器。目前postgres帐号密码已被篡改。 请问各位大神,清理工作该如何开展呢?如果有兴趣,可以看看这家伙留下的程序包:https://dl.dropboxusercontent.com/u/53433697/psf.tar.gz
4085 次点击
所在节点    Linux
13 条回复
AstroProfundis
2013-10-24 23:03:32 +08:00
备份数据,重装系统
looz
2013-10-24 23:08:19 +08:00
@AstroProfundis, 这个方法简单粗暴,如果重新配置需要做的工作很多岂不是很麻烦。
AstroProfundis
2013-10-24 23:12:28 +08:00
@looz 但是你不能确定没给你放别的后门啊?话说配置文件一起备份嘛...
looz
2013-10-24 23:31:04 +08:00
@AstroProfundis, 这个正是我所担心的。
wanzai01
2013-10-25 08:02:16 +08:00
重新初始化数据库, 改密码, 禁止数据库用户通过unix sock, localhost trust认证.
导入数据.
AstroProfundis
2013-10-25 10:06:45 +08:00
@looz 嗯...所以我感觉还是重装保险...
jybox
2013-10-25 10:23:46 +08:00
@AstroProfundis 但是也不能确认配置文件没被动过手脚.....还得挨个检查一遍
mahone3297
2013-10-25 10:49:05 +08:00
你的数据都删了,怎么办?我觉得这是最重要的。
AstroProfundis
2013-10-25 12:31:51 +08:00
@jybox 啊对...
letitbesqzr
2013-10-25 18:29:02 +08:00
-。- 根据我多年的渗透经验..渗透到有价值的服务器后,一定会放rookit之类的后门的... 应该用一些专业的工具查杀...不过还是建议重装..毕竟linux上rootkit变异的比较多..很多杀不出来... 一定要找到入侵者的入侵手法...看各种日志.. 修补好那一块的漏洞、
ptyfork
2013-10-25 19:57:10 +08:00
这家伙把你数据给删掉实在太狠了,别试图去恢复,因为往往弄不干净而且不值得浪费那时间。
最安全的办法肯定是重新安装干净的系统,安全防护措施做的充分一些。
看着被攻破的用户我猜测很可能是用了弱密码, 安装denyhosts!往往很有效。
looz
2013-10-26 12:45:01 +08:00
@ptyfork, 的确是疏忽了,postgres账户用了弱密码。@letitbesqzr, syslog日志已经被删掉了,其他的日志翻了下,也找不的有用的信息。
toad
2013-11-06 14:42:03 +08:00
psf 是一个进程隐藏的东西!

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/86815

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX