linux 被入侵后扫尾工作

比较恶心，安装了后门，还把ssh sshd 给改了，服务器在机房，还不大好处理，如果贸然上去改，还容易把自己关在外面。

但是我有salt ，上面可以用cmd.run运行一切命令。不走sshd服务。

lsattr /usr/bin/ssh
-u--ia------- /usr/bin/ssh

　 加了三个恶心的东西

然后用chattr -i /usr/bin/ssh

chattr -u 

chattr -a

然后在重新 yum -y reinstall openssh-server 就行了

/etc/init.d/sshd start 

如果不做那步的话 

Downloading Packages:
Running rpm_check_debug
Running Transaction Test
Finished Transaction Test
Transaction Test Succeeded
Running Transaction
Installing : openssh-server 1/1Error unpacking rpm package openssh-server-4.3p2-82.el5.i386

error: unpacking of archive failed on file /usr/sbin/sshd: cpio: rename

Failed:
openssh-server.i386 0:4.3p2-82.el5

 

是无法替换那个文件的。

同样的方法，把/usr/sbin/sshd 也清一下，就ok 了。