清除Suckit rootkit

阅读更多

一台Redhat 7.3 Server上在目录下ls找不到当前目录下的*.sh文件， 但ls单个文件例如ls httpd.sh则可以知道httpd.sh还是存在的。


用chkrootkit检查是中了Suckit rootkit ,    搜索sk， 找到在/usr/local/games/sk/ 下面。


cd /usr/local/games/sk/

./sk u

然后下载SysVinit-2.84-2.i386.rpm (在这里找到下载：http://redhat.dulug.duke.edu/pub/redhat/linux/7.3/en/os/i386/RedHat/RPMS/SysVinit-2.84-2.i386.rpm)

从中解出init,  用它覆盖/sbin/init,  重启Server.


last | head -n7 查看到以下记录：


ftp      ftpd7743     162.105.146.202  Wed Aug  9 10:16 - 10:16  (00:00)
ftp      ftpd6184     162.105.146.23   Wed Aug  9 10:15 - 10:15  (00:00)
于是vi /etc/hosts.deny   在其中加入：


all:162.105.146.

然后# /etc/rc.d/init.d/xinetd restart

# /etc/rc.d/init.d/network restart