这是一个创建于 4374 天前的主题，其中的信息可能已经有所发展或是发生改变。
昨天VPS被入侵，postgresql数据库被破坏，数据文件全被删掉了。今晚查了下，发现入侵者是通过postgres账户进来的，/var/lib/postgresql/目录下的内容全被干掉。并丢下了一个程序包。粗略分析，发现这家伙用了一个进程伪装程序，并且启动了一个irc客户端连接到irc服务器。目前postgres帐号密码已被篡改。 请问各位大神，清理工作该如何开展呢？如果有兴趣，可以看看这家伙留下的程序包：https://dl.dropboxusercontent.com/u/53433697/psf.tar.gz
13 条回复 1970-01-01 08:00:00 +08:00
 | 1 AstroProfundis 2013-10-24 23:03:32 +08:00 备份数据，重装系统 |
 | 2 looz OP @AstroProfundis, 这个方法简单粗暴，如果重新配置需要做的工作很多岂不是很麻烦。 |
| 3 AstroProfundis 2013-10-24 23:12:28 +08:00 @looz 但是你不能确定没给你放别的后门啊？话说配置文件一起备份嘛... |
| 4 looz OP @AstroProfundis， 这个正是我所担心的。 |
 | 5 wanzai01 2013-10-25 08:02:16 +08:00 重新初始化数据库, 改密码, 禁止数据库用户通过unix sock, localhost trust认证. 导入数据. |
| 6 AstroProfundis 2013-10-25 10:06:45 +08:00 @looz 嗯...所以我感觉还是重装保险... |
 | @AstroProfundis 但是也不能确认配置文件没被动过手脚.....还得挨个检查一遍 |
 | 8 mahone3297 2013-10-25 10:49:05 +08:00 你的数据都删了，怎么办？我觉得这是最重要的。 |
| 9 AstroProfundis 2013-10-25 12:31:51 +08:00 @jybox 啊对... |
 | 10 letitbesqzr 2013-10-25 18:29:02 +08:00 -。- 根据我多年的渗透经验..渗透到有价值的服务器后,一定会放rookit之类的后门的... 应该用一些专业的工具查杀...不过还是建议重装..毕竟linux上rootkit变异的比较多..很多杀不出来... 一定要找到入侵者的入侵手法...看各种日志.. 修补好那一块的漏洞、 |
 | 11 ptyfork 2013-10-25 19:57:10 +08:00 这家伙把你数据给删掉实在太狠了，别试图去恢复，因为往往弄不干净而且不值得浪费那时间。 最安全的办法肯定是重新安装干净的系统，安全防护措施做的充分一些。 看着被攻破的用户我猜测很可能是用了弱密码， 安装denyhosts！往往很有效。 |
| 12 looz OP @ptyfork, 的确是疏忽了，postgres账户用了弱密码。@letitbesqzr, syslog日志已经被删掉了，其他的日志翻了下，也找不的有用的信息。 |
 | 13 toad 2013-11-06 14:42:03 +08:00 psf 是一个进程隐藏的东西！ |
Select Language