질문 올렸던 허지완이라고 합니다.
 결론 삼아서...
오늘 새벽 2시반에서 3시반 사이에 들어와서 크랙킹 완전히 끝내고 나갔더군요.
크랙킹한 방법은 named 보안 버그를 이용해서 들어와서...
/tmp 디렉토리에서 su.c 소스와 s 라는 실행파일을 남겨놨더군요. :-)
www.hack.co.za 에서 만든 소스라고... 2001년 1월 15일 자라고.. 나와있구요.
 소유자 그룹 모두 named 로 되어있습니다.
/bin/httpd 를 rc.local로 부팅되면서 실행하게 해놨고...
로케일을 바꿔놨군요. za로..
/bin/httpd 는 cron에서 매 5분 간격으로 실행되게 해놨구요.
 /var/spool/cron/...   /hide
/var/spool/cron/...   /new-host
/var/spool/cron/...   /string
/var/spool/cron/...   /sbin
/var/spool/cron/...   /sbin/tgz
/var/spool/cron/...   /sbin/wget
/var/spool/cron/...   /dos
/var/spool/cron/...   /dos/stealth
/var/spool/cron/...   /dos/smurf
....등등등...(...     /)이거 공백 이용해 숨길려고 한거 같습니다.
 tgz 로 묶어서 wget으로 퍼간거 같습니다.  왜 퍼갔는지, 뭘 퍼갔는지는
아직 모르겠습니다. :-)
크래킹 당한 서버외에도 서버들이 있는데, 거긴 깨끗합니다.
그리고, cleaner로 로그파일을 깨끗이 지우는 성실함까지.. 당근인가?
 아마도 날 미워하거나 ^_^ (다 지우진 않았으니... 조금은 애증이 남아있는...)
아니면, 누군가 공부 목적으로 들어왔던 모양입니다.
 전 게으름 때문에 보안구멍이 있는 줄 뻔히 알면서도 안했으니 당해도 쌉니다.
보안 패치된 bind 받아놓은지가 언젠데... 계속 미루고만 있었으니...
 근데 들어왔던 크래커가 위의 목적으로 들어왔다손 치더라도...
지금은 자꾸 웃음이 나옵니다.  퍼가서 머 읽을 거리라도 있었나 싶어서...
계정 가진 사람들이 저희 직원 몇하고 몇 친분있는 분들인데 거의 안들어
옵니다.  솔직히 말씀드려서 비밀번호도 1234,1111 이런 겁니다.
한 10명 정도.
 중요한 문서라고는 그냥 안부 전하는 메일정도 외에... 업무 편의상 공유
문서 정도...(사업자 등록증 스캔 해논거...)
 그런데, 다만 걱정되는 것이... 작년 가을 경에 저희 시스템들을 이용해서
외국에서 해킹 경로로 이용되고 있는 것 같다고(추측) 저희 ISP에서 말을
했었습니다.  해결 방법은 없다고 말해주던데...
그 해킹에 이용되고 있는 것 같다고 했던 컴들은 윈98이 깔린 컴들이었습
니다.
 또 다른 피해를 막기위해 적어봅니다.
 이글을 읽으시는 분들은 반드시... 꼭... bind 업그레이드 하시고...
레드헷 계열이면 보안 패치된 팩키지들이 없는지 꼭 확인해 보시기 바랍니다.
 지완.