>> Edit article

			이름
			제목
			패스워드

w 는 현재 사용자만을 구별하죠. 저도 아직 배우고 있는 입장이라 어떻게 확실한 답변은 못할것 같습니다. 저는 last 를 많이 이용합니다. # last | more 자세한 것은 man last 해보시면 어느 파일에 저장되는지 아실 수 있을것입니다. 그리고 공격을 받고 있다고 의심이 되신다면 아래와 같은 방법도 추천합니다. <hr> 어디선가 서버를 공격하고 있다면 그쪽 IP가 억세스 못하게 막아야 겠죠? 그런데 ipchain 이 없거나 Kernel이 지원하지 않게 컴파일 되어면? route add -host xxx.xxx.xxx.xxx reject xxx 가 그쪽 IP입니다. 이렇게 하는 순간 그쪽에선 아무런 억세스도 하지 못하게 됩니다. 다시 해제하려면 add 대신 del 을 해주거나 reject를 빼면 됩니다. ps. route대신 ipchains을 추천합니다.<hr> 그리고 저역시 그냥 들은 내용인데... 게시판 같은 곳에 스크립트를 이용해서 커널 버그를 이용 하면 텔넷로그인이 떨어지는 버그가 있다고 하더군요. 그 버그를 이용하지 않았을까 싶습니다. : 서버로 로긴후 버릇처럼.... 쉘상에서 w 를 눌렀습니다. : 그런데... : 왠 nobody... 결코 w 상에서는 모습을 드러내지 않던 놈이 2놈이 있더라구요. : 한놈은 ftp ... 한놈은 -bash 상태로... : nobody  pts/1    -                9:01pm 42:56  0.07s  0.07s  -bash : : : 이상하더라구요.. : : 그래서... 로그파일을 살폈습니다. : 대충 살펴서 부분부분만 카피를 했습니다. : 그런데 왠걸.... 좀 있다가 다시 확인차... 들어 갔더니...21:01시간대(이놈 : 이 작업을 시작한 시간으로 예상됨) 에 부분들이 없어 졌어요... : : 음... 물론 아이피랑은 확보 해 놨지만... : : 한번 봐주십시오...로그파일입니다. : (참고로 저는 이시간대에 한텀을 띄운적이 없습니다. 결코...낮에 잠깐 접속하 : 고 안 했습니다. ) : : : /var/log/message : : nobody  26397  759  0 21:00 ?  0:00:02 /usr/local/apache/bin/httpd : nobody  26473 26469  0 21:01 pts/1    00:00:00 -bash : : : : /var/log/secure : : nobody  26397  759  0 21:00 ?      0:00:02 /usr/local/apache/bin/httpd : root    26469 26177  0 21:01 ?      00:00:00 /usr/bin/X11/hanterm -ls - : display 211.198.246.237:0.0 : nobody  26473 26469  0 21:01 pts/1  00:00:00 -bash : : : : 그리고 top 명령을 때려 보니.. : 전혀 모습을 드러내지 않던....magicdev 란 놈이 실행중입니다. : 저는 한번도 본적이 없는데...어디다가 사용되는 놈인지도 모르겠구요... : 이놈은 또 뭐죠..? : : : 기타 등등 의심되는 로그파일입니다. (이부분은 부분부분 카피해서 시간순거 : 가 아닙니다.) : : : Jan 26 21:25:26 www proftpd[27503]: www.도메인.com (211.198.246.237 : [211.198.246.237]) - FTP session closed. : Jan 26 21:25:26 www kernel: VFS: busy inodes on changed media. : Jan 26 21:25:58 www last message repeated 16 times : Jan 26 21:26:13 www last message repeated 7 times : Jan 26 21:26:13 www named[558]: "134.116.211.in-addr.arpa IN NS" points : to a CNAME (ns.도메인.com) : Jan 26 21:26:15 www kernel: VFS: busy inodes on changed media. : Jan 26 21:26:23 www last message repeated 4 times : Jan 26 21:26:23 www inetd[544]: pid 27572: exit status 1 : Jan 26 21:26:25 www kernel: VFS: busy inodes on changed media. : Jan 26 21:26:57 www last message repeated 16 times : Jan 26 21:27:17 www last message repeated 10 times : Jan 26 21:27:19 www inetd[544]: pid 27624: exit status 1 : Jan 26 21:27:19 www kernel: VFS: busy inodes on changed media. : Jan 26 21:27:51 www last message repeated 16 times : : : Jan 26 21:18:38 www rpc.statd[389]: gethostbyname error for ^X??X??Y??Y?? : Z??Z??[??[??8x%8x%8x%8x : %8x%8x%8x%8x%8x%236x%n%137x%n%10x%n%192x% : n~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ : : Jan 25 18:08:49 www kernel: VFS: busy inodes on changed media. : Jan 25 18:09:21 www last message repeated 17 times : Jan 25 18:09:22 www inetd[544]: pid 4810: exit status 1 : Jan 25 18:09:23 www kernel: VFS: busy inodes on changed media. : : : : 마지막으로 VFS 란 놈은 또 뭐죠... : : : : 초보 서버 운영자의 한탄스러운 고백이었습니다. : : =_-;;;; : : -- : =_-;;;;;;;;

Copyleft 1999-2026 by JSBoard Open Project Theme Designed by IDOO All right reserved