Skip to content

조회 수 8781 추천 수 0 댓글 0
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
LINUX 해킹당했을 때 대처요령  

---== SIR ==--- 에서 펀글

1. 해커가 침투했다면 부팅관련 init를 변경했을 위험이 있다.
   만약 변경되었다면 부팅이 되지 않는다.

/etc/rc.d 에 보면 init가 있다.

서버 전원넣으면 바이오스에서 하드웨어 감지하고, 마스터 하드로 점핑해주죠.
마스터 하드(부팅관련)점핑되면 lilo에서 해당 커널을 올려줘요
그러면 해당 커널로 로딩되면서 /etc/init.d/에 있는 런레벨 스크립트를 실행하죠
만약 init가 엉망이면 부팅 실패되면 컴퓨터 멈춰버리죠

이럴 경우는 복원모드로 들어가서 작업해줘야 되죠

               복원모드는 linux rescue

** 참고

파티션 구성하는 부분에서 중요데이터가 있는 파티션을 제외한 나머지는 새로 잡아줘서 재설치해주면 되요.
그래서 리눅스 셋팅시 파티션 계획이 아주 중요하죠.(이것도 내공은 약하지만 정리해서 공개할께요)
/database, /log, /home 등은 독립파티션으로~
위의 중요파티션을 제외하고 나머지는 새로 파티션 잡고 설치한 후 취약한 부분 패치해주고 이런식이죠

2. 변경되어있는 명령어 있나 확인

lsattr /bin/* | more 해서 변경되어있는 명령어 있나 확인

lsattr /sbin/* | more

만약에 변경되어 있다면,
rpm -qf 변경된명령어  하면 변경된명령어가 포함된 패키지명이 나온다

이것을 강제로 재설치해주면 되는데, 이것이 해킹당한 명령어 복원해주는 기술이다.

예 를들어서 /bin/su 명령어가 변경되었을 경우,

[root@ecweb-7 tmp]# rpm -qf /bin/su 해보면

coreutils-4.5.3-19.0.2  패키지명이 출력되죠

이것을 재설치해주면 된다.

참 고사이트 http://www.blocus-zone.com/modules/news/print.php?storyid=639


3. 백도어 찾기

find /dev -type f 해서

MAKEDEV 요것만 나오면 정상이고, 다른거 나오면 100% 백도어임


4. 프로세서 검색

netstat -tnapu |grep LISTEN 해서 이상한 프로세서 띄워져 있으면,

프로세스 PID 값을 복사하여 커멘드라인에서 ls -al /proc/pic값 주면
스크립트 돌아가고 있는 디렉토리 위치 보여짐

여기에서 rm -rf 명령을 이용하여 삭제

** PID값이란?
프로세스가 시작될 때 커널에서 부여해주는 값으로, 참고로 PID값은 모두 다르다.

예를들어서,

ps -aux 했을 때 아래의 프로세스가 악성일 경우

nobody  13338  0.3  0.8 17084 9272 ?        S    13:06  1:13 /usr/local/apache/bin/httpd

ls -al /proc/13338 해보면

lrwxrwxrwx    1 root    1001            0  9월 17 18:17 exe -> /usr/local/apache/bin/httpd
식으로 경로추적되요

대부분 nobody 사용자로 불법접근해서 루트 따먹기 위해 악성코드 돌리는데

exe -> 위치가 /var/tmp 혹은 /tmp 이에요

요 런건 바로 삭제해줘야죠

이제 어설픈 해커나 크래커들에게 당하고 울지 않기를~~~
부타카케~~ 부타카케~~ 상처받지 않기를~~~

TAG •

  1. No Image 31Mar
    by l2zeo
    2010/03/31 by l2zeo
    Views 27817 

    리눅스 보안 - 권한설정에 주의해야할 명령어들은 ?

  2. No Image 28Mar
    by l2zeo
    2010/03/28 by l2zeo
    Views 11629 

    안티 루트킷 사용 예

  3. No Image 24Mar
    by ADMINPLAY
    2010/03/24 by ADMINPLAY
    Views 9725 

    리눅스 - iptables NAT rule

  4. Cisco/Tip/라우터,스위치에서 패킷 캡쳐하기

  5. No Image 08Mar
    by l2zeo
    2010/03/08 by l2zeo
    Views 9901 

    해킹이 의심될 때 사용되는 명령어들

  6. iptables 리눅스? NETFILTER관련

  7. No Image 08Mar
    by l2zeo
    2010/03/08 by l2zeo
    Views 8781 

    LINUX 해킹당했을 때 대처요령

  8. No Image 08Mar
    by l2zeo
    2010/03/08 by l2zeo
    Views 8229 

    파일 퍼미션 설정을 통한 로컬 공격 방지

  9. No Image 08Mar
    by l2zeo
    2010/03/08 by l2zeo
    Views 8449 

    SSH 공격막아내기 방법

  10. No Image 30Jan
    by ADMINPLAY
    2010/01/30 by ADMINPLAY
    Views 8549 

    Tcpdump 용어 정리

  11. 홈페이지 보안 강화 도구(CASTLE) 보급 안내

  12. No Image 13Dec
    by ADMINPLAY
    2009/12/13 by ADMINPLAY
    Views 8842 

    Kernel 2.4.23 버전 이하에 나온 ptrace 버그에 관한 사항

  13. No Image 30Nov
    by ADMINPLAY
    2009/11/30 by ADMINPLAY
    Views 8357 

    lsof 활용 가이드

  14. No Image 30Nov
    by ADMINPLAY
    2009/11/30 by ADMINPLAY
    Views 9824 

    실전 테스트!! 스니퍼 공격

  15. No Image 30Nov
    by ADMINPLAY
    2009/11/30 by ADMINPLAY
    Views 9311 

    해외에서 접근하는 IP 차단하기

  16. No Image 30Nov
    by ADMINPLAY
    2009/11/30 by ADMINPLAY
    Views 8917 

    iptables 옵션 및 상태 추적 테이블 및 rule

  17. No Image 20Oct
    by ADMINPLAY
    2009/10/20 by ADMINPLAY
    Views 11576 

    ossec 로그 분석 툴 설치

  18. No Image 20Oct
    by ADMINPLAY
    2009/10/20 by ADMINPLAY
    Views 8444 

    SSH(Security SHell) 보안쉘

  19. No Image 15Oct
    by ADMINPLAY
    2009/10/15 by ADMINPLAY
    Views 9091 

    홈페이지 변조 대처법 (FTP 계정을 이용한 아이프레임 코드 삽입)

  20. No Image 15Oct
    by ADMINPLAY
    2009/10/15 by ADMINPLAY
    Views 10869 

    iframe 이용한 악성코드 삽입, 홈페이지 변조 사고 대비 대응책

Board Pagination Prev 1 2 3 4 5 Next
/ 5

Copyright ADMINPLAY corp. All rights reserved.

abcXYZ, 세종대왕,1234

abcXYZ, 세종대왕,1234