快速反应……

今天下午下班之后有一个学生反应说自己计费网关登陆帐号被盗了。于是我打开刚刚关闭电源的机器,帮助检查了他的使用情况,发现正好有人在盗用他的帐号,地点是计算机学院2层机房。冲上二层机房,在计算中心主任的帮助下快速定位了盗用帐号的人,结果发现竟然是那个人的同学…… 真折腾。。。从发现盗用到抓获盗用人,用的时间不超过30分钟,但是属于误报,比较郁闷……

掩盖攻击……

-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 471 10月 1 09:08 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
-rw-r–r– 1 root root 471 9月 27 2003 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.2
-rw-r–r– 1 root root 0 10月 5 15:15 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.2
-rw-r–r– 1 root root 0 9月 28 06:43 mgetty.log.ttyS0.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.2.1
……

—摘自某重要服务器的/var/log目录列表
一台曾经被入侵过的服务器,入侵结束后没有仔细检查服务器,由于这个服务器涉及的方面比较敏感,我也一直都没有插手去做检查。今天看了一下,发现对方在/var/log里面填写了大量大小为0的文件,严重影响了我查看日志。比较混的一个手法,如果我没记错,对方应该是曾经试图攻击3com公司网站的某黑客。准备在服务器上贴一个符,希望这些小鬼们见到我写的符之后能绕开走……

liukang=liukang->next;

退出移动版