대충 훓어보니 크래킹 당한거 같군요.
 어떠한 백도어들이 많이 숨겨져 있을찌 모르니.
 이런 경우에는 싹~ 밀고 다시 까는게 최상의 방법입니다.
 다시 까셔서 보안문서 좀 보시구요.
 각 디렉토리와 파일의 퍼미션, 보안패치 등..
 공부하세요.
 수고요.
 : 밑에 글 올렸는데...
: 대답들이 없어서 다시 올립니다.
: ======================================================================안녕하세요?
: : :
: : : 사용자들의 HISTORY에 잦은 su 명령어가 나오며, 요즘 들어 특정 화일이
: : : 빈번히 바꿔는 경우가 많아 해킹을 당하고 있지 않나 의심을 합니다.
: : :
: : : 더욱 이상한 일은
: : :
: : : /usr/adm/lastlog
: : : /etc/utmp
: : : /usr/adm/wtmp
: : : /usr/adm/acct
: : :
: : : 이런 로그인 화일이 하나도 없다는 사실입니다.
: : :
: : : 제가 이 일을 인수 받은적이 며칠 안되고 그동안 제대로 관리가 안되어서
: : : 잘은 모르겠지만 이런 로그인 화일들은 시스템을 설치할 때 기본적으로
: : : 설치가 되는것이 아닌지 궁금합니다.
: : :
: : : 이 문제에 대해 답변 좀 부탁 드리겠습니다.
: : : 만약 기본적으로 설치가 되는 거라면 해킹당하고 있다는 것이 거의 확실하다
: : : 고 생각하면 되는지도 궁금합니다.
: : ====================================================================
: : 어떤 버젼인지 모르겠지만
: : /src/log 란 디렉토리가 있는지 확인 해보세여
: : 그곳 안에 로크 파일들이 있습니다
: : 그런데 /src 던가 쩝
: : 저 같은 경우는 log파일을 지우면 다른 로크가 생기더라구여 예) **log2 이렇게
: :
: : --
: : 열심히 삽질 하자
: : 엽기 삽질 허접 삽질
: =======================================================================
: 제가 확인한 바로는 /src, /src/log 디렉토리자체가 없습니다.
: 흠...
: 그리고 해킹당한 것 같은 유저의 history를 보면 다음과 같습니다.
: 1 ls
: 2 cd public_html/ ==>저희 유저의 홈페이지 디렉토리입니다.
: 3 ls
: 4 rm -Rf wwwboard ==>게시판을 싹~~~ 날렸죠?
: 5 ls
: 6 ls              ==>날리고는 두 번이나 확인했군요.
: 7 su
: 8 su              ==>su로 로그인하구...
: 9 cd /
: 10 cd var
: 11 df             ===>/var밑에서 용량을 체크하는군요. 아마도 xferlog화일
: 12 ls                 이 증가 됐는지 알아보는것 같아요.
: 13 cd log
: 14 ls
: 15 vi cron        ====> cron수정 했는데... 과연 뭘 수정했는지 모르겠
: 16 ls                   습니다.
: 17 vi xferlog     ====>여기서 발자국을 지우는것 같군요.
: 18 ls
: 19 cd ..
: 20 ls
: 21 df             ====>또 /var에서 용량을 확인하는군요.
: 22 ls
: 23 ls
: 24 ls
: 25 cd /
: 26 cd /home/
: 27 ls
: 28 cd oilclean/
: 29 ls
: 30 mysql -u -root -p mysql ==>mysql도 만진것 같습니다.
: 31 mysql -u root -p mysql
: 32 mysql -u root -p mysql
: 33 cd /
: 34 cd var/                ===>또 용량을 확인하는군요.
: 35 df
: 36 mysql -u root -p mysql
: 37 mysql -u root -p mysql
: 38 mysql -u root -p mysql
: 39 cd /
: 40 cd /var
: 41 df
: 42 cd /
: 43 cd var
: 44 ls
: 45 df
: 46 history
:
: 어떻습니까?
: 해킹당한것 맞는것 같죠?
: 음... 아무의견이라도 좋으니 의견 좀 남겨주시고요.
: 위에 말한 로그화일 남겨 하려면 어떻게하는지도 알려주시면 감사하겠습니다.
:
: 그럼 행복하시길...--째수 조은 하루 되소서