[plamo:14102] Re: クラッカーに妙なことされた(^^;

[Que]

その後、当該ホストを調べた結果、でてきた事実を書きます。

>で、一番怪しいと思ったのは、先の[sshd]Disconnect:...だったんですが。

やっぱこれしかなさそうです。
/rec1984.tar.gz
ってファイルが出来てました。中身は、こんなんでした。
drwxr-xr-x root/root         0 2002-03-25 05:37 rechinu/
-rwxr-xr-x webupload/mattm 830 2002-03-22 20:12 rechinu/install
-rw-r--r-- root/root    234951 2002-03-25 05:15 rechinu/sshd.tar.gz
-rw-r--r-- root/root       266 2002-03-21 20:17 rechinu/ps
-rw-r--r-- root/root       216 2002-03-22 20:13 rechinu/pstree
-rwx--x--x root/root      2401 2002-03-25 05:16 rechinu/mail
-rwxr-xr-x root/root       622 2002-03-16 20:17 rechinu/installps
-rwxr-xr-x root/root    124076 2002-03-16 20:32 rechinu/wget
-rwxr-xr-x root/root        74 2002-03-21 20:17 rechinu/secure

このsshd.tar.gzの中身は、
drwxr-xr-x webupload/mattm   0 2002-01-19 18:53 dev/
-rw-r--r-- webupload/mattm  70 2002-03-19 01:49 dev/dsx
-rw-r--r-- webupload/mattm 102 2002-03-19 01:49 dev/dszy
drwxr-xr-x webupload/mattm   0 2001-08-29 10:07 usr/
drwxr-xr-x webupload/mattm   0 2002-03-22 20:11 usr/lib/
-rw------- root/root       512 1983-09-26 09:45 usr/lib/ssh_random_seed
-rw-r--r-- root/root       689 2002-03-16 21:03 usr/lib/libsconfig.so.1
-rw------- root/root       541 2002-03-16 21:03 usr/lib/libshkey.so.1
-rwxr-xr-x root/root    654451 2002-03-25 05:14 usr/lib/asd
で、気づいたときは先に書いた通り、/usr/lib/asdが動いてました。

また、/etc/ftpusersの末尾に
anonymous
ftp
anonymous
ftp
と追記されていました。何の意味が・・・

今回の件に気づいたのは、suした状態でコマンドラインのヒストリーがでてこな
かったことで「おや？」と思って調べまわしたのがきっかけです。結局、このホ
ストは、ルートパーティション（ってか/home以外）は全部削除して、作り直し
ました。

お騒がせしましたm(_ _)m

--
Que (que@v004.vaio.ne.jp)
URL     http://homepage1.nifty.com/Que/