求助，服务器好像被存在安全问题

noble_out · **发表于 :** 2015-05-04 18:22

今天网站突然特卡，ssh进服务器（centos）。top查看了下，看到一个hll进程，CPU占用率40% 服务器没改密码，是初始密码。history查看了下看到有人在root目录下有动作。我 rm -f /root/hll pkill -9 hll 。把服务器密码改了，没过一会儿网站又卡了，/root/hll文件又存在。。。top 查看到又有hll进程。
求助各位大神支招

noble_out · **发表于 :** 2015-05-04 18:34

我实在是不知道怎么阻止这个程序运行。想了笨办法 chmod a-wx /root/hll，可是可以了，就是不能吧/root/hll文件删掉，删掉还会自动创建的，没用。现在文件虽然存在，但是ps aux |grep hll查不到了

noble_out · **发表于 :** 2015-05-04 18:44

查看了下，被人添加了自启。 wrz...

noble_out · **发表于 :** 2015-05-04 18:47

百度了下，汗

noble_out · **发表于 :** 2015-05-04 19:11

http://news.drweb.cn/show/?i=230&lng=cn&c=5

到底该怎么处理呢。
./rc1.d/S97DbSecuritySpt
./rc3.d/S97DbSecuritySpt
./rc5.d/S97DbSecuritySpt
./rc2.d/S97DbSecuritySpt
./rc4.d/S97DbSecuritySpt
./rc.d/rc1.d/S97DbSecuritySpt
./rc.d/rc3.d/S97DbSecuritySpt
./rc.d/rc5.d/S97DbSecuritySpt
./rc.d/rc2.d/S97DbSecuritySpt
./rc.d/rc4.d/S97DbSecuritySpt
./rc.d/init.d/DbSecuritySpt
./init.d/DbSecuritySpt
这些文件我删了，可是只要把/root/hll删除，不过多久上面的文件又自动创建了，/root/hll也自动创建了，进程里又有hll了。
现在只能不删除/root/hll (chmod a-wx /root/hll)

zhw2101024 · **发表于 :** 2015-05-05 0:28

sudo lsof -R|grep hll|more
看看那些进程在试图访问hll，这样追根溯源。注意一下匹配进程的pid及父进程的pid，一层一层往上找。
最好先看看这个进程访问哪个端口，在iptables把它禁掉。

lanni654321 · **发表于 :** 2015-05-15 23:05

现在问题处理的如何了？

求助，服务器好像被存在安全问题

在线用户