昨天VPS被入侵，postgresql数据库被破坏，数据文件全被删掉了。今晚查了下，发现入侵者是通过postgres账户进来的，/var/lib/postgresql/目录下的内容全被干掉。并丢下了一个程序包。粗略分析，发现这家伙用了一个进程伪装程序，并且启动了一个irc客户端连接到irc服务器。目前postgres帐号密码已被篡改。 请问各位大神，清理工作该如何开展呢？如果有兴趣，可以看看这家伙留下的程序包：https://dl.dropboxusercontent.com/u/53433697/psf.tar.gz
This topic created in 4608 days ago, the information mentioned may be changed or developed.
13 replies • 1970-01-01 08:00:00 +08:00
 |
1
AstroProfundis Oct 24, 2013
备份数据，重装系统
|
 |
2
looz OP @AstroProfundis, 这个方法简单粗暴，如果重新配置需要做的工作很多岂不是很麻烦。
|
|
3
AstroProfundis Oct 24, 2013
@looz 但是你不能确定没给你放别的后门啊？话说配置文件一起备份嘛...
|
|
4
looz OP @AstroProfundis， 这个正是我所担心的。
|
 |
5
wanzai01 Oct 25, 2013
重新初始化数据库, 改密码, 禁止数据库用户通过unix sock, localhost trust认证.
导入数据. |
|
6
AstroProfundis Oct 25, 2013
@looz 嗯...所以我感觉还是重装保险...
|
 |
7
jybox Oct 25, 2013
@AstroProfundis 但是也不能确认配置文件没被动过手脚.....还得挨个检查一遍
|
 |
8
mahone3297 Oct 25, 2013
你的数据都删了，怎么办？我觉得这是最重要的。
|
|
9
AstroProfundis Oct 25, 2013
@jybox 啊对...
|
 |
10
letitbesqzr Oct 25, 2013
-。- 根据我多年的渗透经验..渗透到有价值的服务器后,一定会放rookit之类的后门的... 应该用一些专业的工具查杀...不过还是建议重装..毕竟linux上rootkit变异的比较多..很多杀不出来... 一定要找到入侵者的入侵手法...看各种日志.. 修补好那一块的漏洞、
|
 |
11
ptyfork Oct 25, 2013
这家伙把你数据给删掉实在太狠了，别试图去恢复，因为往往弄不干净而且不值得浪费那时间。
最安全的办法肯定是重新安装干净的系统，安全防护措施做的充分一些。 看着被攻破的用户我猜测很可能是用了弱密码， 安装denyhosts！往往很有效。 |
|
12
looz OP @ptyfork, 的确是疏忽了，postgres账户用了弱密码。@letitbesqzr, syslog日志已经被删掉了，其他的日志翻了下，也找不的有用的信息。
|
 |
13
toad Nov 6, 2013
psf 是一个进程隐藏的东西！
|
Select Language