一次偶然的“反黑”经历

早上接到电话，说服务器被黑了，不断发送垃圾邮件

首先想到的是，服务器密码被人破译了，然后调用sendmail 发送邮件

针对猜测：

1.首先找到25端口，关闭sendmail 进程 

netstat -anp |grep:25

kill -9  [pid]

2. 关闭sendmail 服务

/etc/init.d/sendmail stop 

3.发现还是不行

ps -aux 之后，返现好多php进程，都是同一下用户名的，非常可疑，而且他所用的端口号都是很大的，比如63452之类的

比如用户名是 down-user 

使用kill 命令删除所有down-user的进程

kill -9 `ps -fu down-user |awk '{ print $2 }'|grep -v PID`

第三步之后，世界终于清静了。。。

综上所述，应该是down-user 被黑了，修改down-user 密码和权限~这就是后话了~

还要检查下服务器上有没有其他的木马程序。。。。。

事情真多啊。。。

[附录]

1.查看端口运行的什么服务
lsof -i :123   这个123代表你想要查看的端口号
关闭LINUX不常用端口
关闭111端口
/etc/init.d/portmap stop
关闭25端口
/etc/init.d/sendmail srop
关闭631端口
/etc/init.d/cups stop
关闭958端口
/etc/init.d/nfslock stop
关闭37540端口
/etc/init.d/avahi-daemon stop

2.检查密码文件是否被修改

cat /etc/passwd

.....

gdm:x:42:42::/var/gdm:/sbin/nologin  //系统使用的伪用户，例如：lp ,bin ,daemon 等等，基本特征是nologin结尾

hzmc :x:500 :500:user:hzmc: /home/hzm :/bin/bash   //普通用户，对应的内容如下

用户名;密码;UID;GID;用户描述;用户名;起始目录;shell目录

......

先备份passwd 文件，然后把可疑的用户都清理出去

3. 常看系统使用记录

lastlog

lastb

【Reference】

Linux端口的关闭和启用  http://blog.sina.com.cn/s/blog_7657447b0100wbor.html
linux 关闭常用端口  http://www.linuxqq.net/archives/536.html