적수네 동네 - 질문과 답변 [ 게시물 수정 ]

	>> Edit article


			이름
			제목
			패스워드

script kiddie 한테 당하셨네요.  증상을 보니 완전 초짜같은데..  -_-;
 일단은 해킹 스크립트등은 지우시거나 따로 보관하고 싶으시면 따로 디렉토리를 만들어서 잘(!) 보관하시기를 바랍니다.  그리고 /etc/passwd/파일을 원래대로 복구하시구요.  
 그리고 꼭 확인하셔야 할것이 새로생긴 파일들이 아래에 적은것 뿐만이 아닐겁니다.  &#039;.&#039;으로 시작하는 파일이나 디렉토리들은 ls -a 옵션으로만 보이기 때문에 이런식으로 파일을 숨기는 경우가 많으니 이런 파일들을 찾아 내세요.  참고로 아래에 적힌 파일들은 크랙킹 스크립트의 소스에 해당하기 때문에 실제 파일들은 다른곳에 숨어 있을겁니다.  제 경험으로는 주로 /dev, /usr/lib, /lib 등 파일이 많이 들어있는 디렉토리에 교묘하게 숨기는 경우가 많았습니다.
 참, 제일 중요한 겁니다.  시스템을 크랙하면 제일 먼저 하는것이 자신을 숨기기 위해 /bin/{ls,ps,netstat,top} 등 시스템 관리 프로그램들을 크랙버전으로 바꿉니다.  ps가 실행되지 않은 이유는 아마도 이 크랙들을 허접한것을 썼기 때문이죠.  그러니 우선 /bin 디렉토리를 쭉 훑어서 날자를 보시면 크랙당한 (예상) 시간을 파일생성시간으로 가지고 있는 파일들을 찾을수 있을겁니다.  이 파일들을 strings 명령으로 보세요.  바이너리 파일 속의 텍스트 스트링을 보여주는 파일입니다.  자세히 보시면 뭘 숨기려고 하는지 ls의 경우는 숨길 디렉토리, 파일이름등을, ps, top등은 숨길 프로세스의 리스트가 있는 파일경로등을 찾아내실수 있습니다.
 음..  어쨌든 시스템을 잘 뜯어보시고 로그파일들을 잘 들여다 보세요.  허접한 script kiddie같으니 자취를 엄청나게 남기고 다녔을 겁니다.  네트웍 케이블을 우선 빼놓는것 잊지 마시구요.  리눅스 설치하신지 얼마 되지 않은것 같은데 왠만하면 새로 설치하시는 쪽이 속 편할겁니다.  최신버전을 찾아서 설치하는것 잊지 마시고 또한 설치 후 security upgrade/patch등을 꼭(!!!) 받아서 설치하세요.  그것만 잘 지킨다면 해킹/크래킹의 걱정은 훨씬 덜해질 겁니다.
 : 안녕하세요. 
: 
: 어제 새로 한컴 리눅스 2.0을 깔고 외부에 일을 나가는 바람에 FTP와 텔넷을 열어놓은 상태로 퇴근하였습니다. 
: 출장지에서 홈페이지를 새로 세팅을 하고 하루가 지나서 오늘 출근해서 보니 만들지도 않았던 계정두개가 생겨있고 cat /etc/passwd를 해보니 이 계정 두개는 패스워드 섀도우도 안되어있고, 계정 디렉토리도 없더군요(서버관리를 혼자서 하기때문에 다른 사람이 만들었을리도 없고). ps 명령도 안먹는군요.(command not found로 나타납니다) 
: passwd 파일은 읽기전용으로 바뀌어져 있더군요.(단 12시간 사이에 이런 일이.. 흑흑..) 
: 일단 chattr로 passwd파일 복구를 하고 계정들을 삭제하였습니다. 
: 그런데 /var밑에 ftp라는 디렉토리가 있고 여기에 있는 파일들이 rk1.tgz, linsniffer, secure, sense, installps같은것들이 전부 소유자 루트에 퍼미션이 755로 잡혀있군요. 생성날짜도 6월 26일 밤 9시경. 아마 심어놓은 파일인것 같은데... 일단 600으로 퍼미션은 변경시켰습니다만 어떻게 처리해야할지 고민입니다. 
: 
: 아시는 분 대처법을 좀 알려주세요. 감사합니다.--Everything should be as simple as possible, not simpler.
                                             - Albert Einstein