谁动了我的sshd（消失的sshd，诡异）（+真相）
消失的sshd
上午一直登录在一台远程Linux服务器上，想拿一份最新的数据库数据来，于是用 mysqldump 导出并打包成 tar.gz；在本地的一台Linux服务器上执行 sftp，诡异的事情发生了。
[root@liunx0918 shtools]# sftp xxx.xxx.xxx.xxx
Connecting to xxx.xxx.xxx.xxx...
ssh: connect to host xxx.xxx.xxx.xxx port 22: Connection refused
Couldn't read packet: Connection reset by peer
[root@liunx0918 shtools]#
也就是说，这台服务器并没有启动 sshd 服务，这怎么可能呢，我不是还 ssh 在上面吗？
赶快上去看一下（因为一直登录在上面，还是可以操作的），发现少了 /usr/sbin/sshd 进程。
[root@www mysql]$ ps -ef|grep sshd
root 1971 1 0 10:08 ? 00:00:00 sshd: root@pts/0
root 8962 1973 0 15:05 pts/0 00:00:00 grep sshd
[root@www mysql]$
正常的系统是这样的：
[root@www mysql]$ ps -ef|grep sshd
root 1971 1 0 10:08 ? 00:00:00 sshd: root@pts/0
root 4862 1 0 11:46 ? 00:00:00 /usr/sbin/sshd
root 7207 4862 0 11:58 ? 00:00:00 sshd: root@pts/1
root 8962 1973 0 15:05 pts/0 00:00:00 grep sshd
[root@www mysql]$
当时的第一想法是，赶快把 sshd 启动起来。紧张啊
[root@www mysql]$ service sshd start
sshd: 未被识别的服务
[root@www mysql]$
在 /etc/init.d/ 下没有找到 sshd 脚本
[root@www mysql]$ ls /etc/init.d/sshd
ls: /etc/init.d/sshd: 没有那个文件或目录
[root@www mysql]$
发现 openssh-server 包不翼而飞
[root@www mysql]$ rpm -qa | grep ssh
openssh-clients-4.3p2-82.el5
openssh-4.3p2-82.el5
[root@www mysql]$
正常的系统肯定有，不然怎么 ssh 登录。
[root@liunx0918 backup]# rpm -qa | grep ssh
openssh-4.3p2-36.el5
openssh-clients-4.3p2-36.el5
openssh-server-4.3p2-36.el5
[root@liunx0918 backup]#
幸好，还有一个终端连在上面，赶快安装一下：
[root@www mysql]$ yum install -y openssh-server
然后重启 sshd 服务
[root@www mysql]$ service sshd start
这样终于可以从远程登录和下载文件了。松了一口气
关键的问题是：这个 sshd 为什么会不见了呢？？？黑客？！
在 .bash_history 文件中找到了这样的信息
yum remove tcp_wrappers
yum remove tcp_wrappers.i386 0:7.6-40.7.el5
在 /var/log/yum.log 中找到了如下信息
Jun 11 10:24:43 Erased: openssh-server
Jun 11 10:24:43 Erased: tcp_wrappers
Jun 11 11:46:05 Installed: tcp_wrappers-7.6-40.7.el5.i386
Jun 11 11:46:05 Installed: openssh-server-4.3p2-82.el5.i386
后面两条是我操作的，前面两条不是我操作的，而是别人真的把openssh-server给删了 。
后面问了一下，原来是云主机提供方帮助我们解决“无法远程访问某个服务”的问题，上去做了一些操作，没想到他会干出这样的事情来 。
不过还好，(1)发现得及时；(2)并非黑客所为；
可见：服务器的登录权限管控一定要做好，不然都不知道怎么死的。