一次服务器沦陷为肉鸡后的实战排查过程！

对于Linux主机，出现问题后分析和处理的依据主要是日志。/var/log/messages、/var/log/secure都是必不可少的分析目标，然后就是.bash_history命令记录。黑客登录主机必然会在日志中留下记录，高级黑客也许可以删除痕迹，但目前大部分黑客都是利用现成工具的黑心者，并无太多技术背景。该主机对外开放三个TCP侦听端口：

22 sshd 
80 Tomcat 
1521 Oracle 

这三个服务都有可能存在漏洞而被攻击，最容易被扫描攻击的还是sshd用户名密码被破解。所以最先分析 /var/log/secure日志，看登录历史。

3、沦陷过程分析

3.1 oracle用户密码被破解

分析/var/log/secure日志。不看不知道一看吓一跳，该日志已经占用了四个文件，每个文件都记录了大量尝试登录的情况，执行命令：

cat secure-20150317 | grep 'Failed password' | cut -d " " -f 9,10,11 | sort | uniq 

结果如下：

invalid user admin  
invalid user dacx  
invalid user details3  
invalid user drishti  
invalid user ferreluque  
invalid user git  
invalid user hall  
invalid user jparksu  
invalid user last  
invalid user patrol  
invalid user paul  
invalid user pgadmin  
invalid user postgres  
invalid user public  
invalid user sauser  
invalid user siginspect  
invalid user sql  
invalid user support  
invalid user sys  
invalid user sysadmin  
invalid user system  
invalid user taz  
invalid user test  
invalid user tiptop  
invalid user txl5460  
invalid user ubnt  
invalid user www  
mysql from 10.10.10.1  
oracle from 10.10.10.1  
root from 10.10.10.1 

（编辑：威海站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!