적수네 동네 - 질문과 답변 [ 게시물 수정 ]

	>> Edit article


			이름
			제목
			패스워드

: 지금 netstat -an | grep LISTEN 
: 
: 했는데 이상한 포트가 마니 열었어요..
: 
: 아래 유닉스가 나타나느데.. 누군가. 자료를 가저가는거 같구요..
: 
: tcpman.exe 동작하고..
: 그리고. 등등. 여러 프로그램이 막 돌아가는데.
: 
: 젠장.. 루트권한 점령당한것 같아요..
: 
: 보안하나두 안하구.. 그랫는데.. 
: 
: 어떻게 대책을 세워야 하나요?
: 
: 자구 이상한게 돌아가요 .
: 
: tcp        0      0 0.0.0.0:7500            0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:4000            0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:587             0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:25              0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:515             0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:98              0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:23              0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:113             0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:973             0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:1024            0.0.0.0:*               LISTEN
: tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN
: unix  0      [ ACC ]     STREAM     LISTENING     541    /dev/printer
: unix  0      [ ACC ]     STREAM     LISTENING     755    /tmp/.font-unix/fs-1
: unix  0      [ ACC ]     STREAM     LISTENING     690    /dev/gpmctl
 원래 포트들은 여러개 열립니다. 
 예를 들어 0.0.0.0:25는 mail을 받기 위한 포트이고 0.0.0.0:21은 ftp,
 0.0.0.0:23은 telnet등입니다.
 /etc/services에 등록된 포트들외에 다른 것들이 열렸는지 확인해 보시길 바랍니다.
 그리고 대부분의 헤커들이 로그 화일을 지우고 가지만 /var/log 밑에 있는 화일들을 
 살펴보세요. 만약 secure라는 화일이 있다면 이 안의 내용을 봐서 어디서 들어왔는지
 체크도 해보시고, 그리고 last라는 명령어로도 확인해보시고요.
 현재 위의 것들만 가지고는 해킹을 당했는지 알수는 없습니다.
   보안등급을 높이기 위해서는 일단은 xinetd + tcpwrapper + ssh 등의 툴들을
 이용하시는 것이 좋으며 가급적 호스트 접속시 telnet과 ftp를 피하세요.
 또한 주기적으로 logging되는 화일들을 crontable을 이용해서 전혀 눈치챌 수 
 없는 곳으로 옮겨 놓으시는 tip도 찾아보시길 바랍니다.
 제가 시간이 되면 이런 팁들을 이곳 팁란에 실도록 하죠. 좋은 하루되시길.--내 서명???