Unix 后门程式检查 ......

A. [概述]

(1) 入侵者会在你的 Unix 机器上借由 /etc/inittab 或是 /etc/rc.d/rc.sysinit
执行以下的程式

# X11R6 Control Daemon
xc::once:/sbin/xc -q

或是

# X11R6 Control Daemon
# /sbin/xc -q 1>/dev/null 2>/dev/null

(2) 其实它是一支 ssh 的 daemon 程式 (常驻在 60000 或是 55559 或是这中间的 TCP
Port) , 入侵者透过产生的 public key 来让他从端远使用 root 的身分来登入你的机
器 , 然后它就可以做他想做的事 .....

(3) 推测可能是透过 SSH 服务里面的 OpenSSL 的 Buffer Overflow 来入侵的 , 躲在
Firewall 或是 IP-Sharing 后面的目前都没有事



B. [病情]

(1) ls -al /sbin/xc => 这支程式存在
(2) ls -al /dev/fdg => 这个目录存在
(3) vi /etc/inittab 或是 vi /etc/rc.d/rc.sysinit => 最后面有以上的内容



C . [清除]

(1) 修改 /etc/inittab 或是 /etc/rc.d/rc.sysinit 清除以上的内容
(2) 砍掉 /sbin/xc
(3) 砍掉 /dev/fdg 目录
(4) 杀掉 /sbin/xc 这个 Process => "killall -9 xc"
(5) 重新执行 sshd => "/etc/init.d/sshd restart"
(6) 最后执行 "nmap localhost -p1-65535" 来扫描看看使否还有其他不正常的 Port
(如 port : 60000)

x0