LINUX之在centos上一次艰难的木马查杀过程

入侵环境分析：

自己搭建了一台l2tp服务器在内网上，root权限的登录密码为弱密码.搭建好了，测试成功之后，还是比较开心的感觉，因为我一般不是很喜欢在路由器上直接进行vpn连接，因此就把这个l2tp的服务从内网映射出去到外网。一般是通过外网的端口来访问内网的l2tp服务器实现vpn连接的。这样的话对于路由器来说的负载和服务开的较少，有利于路由器设备的维护。

突发状况：

我的服务器一般情况下是不关机的，因此在l2tp服务器搭建成功之后，从来没有关过机，而且很频繁登陆到这个服务器上的服务去，因为我会在家里办公需要连接访问公司的内网获取资料。从来没有关过机。有一天晚上，公司内网整个区域很是卡顿，整个办公区的网络很顺畅，因此管理员通过防火墙设备查到我的这台服务器有很强的异常流量。于是通过防火墙设备把我的这台设备给禁用了，不能访问外网才使得公司内的网络恢复了正常。

自我分析：

因为自己有多台服务器在内网上，内网的服务器全是正常的，只有映射到外网上的服务器出了问题，这就是说明了，我的那台外网服务器存在某一个漏洞或者是某一个缺陷，导致了被别人利用。这台服务器我只是做了一个简单的l2tp服务映射到了公网用于连接公司。

怀疑一、l2tp服务存在服务漏洞，映射出去后，被别人利用

怀疑二、软口令，因为我的服务器的密码是123456，映射到公网后，外网下通过扫描弱口令就可以使得你的服务器口令实施攻击行为。

我自己的判断是 弱口令所致，因为我的密码实在是太简单了。

登陆服务器查看原因：

首先在时间轮询里看是否有自己创建的开机脚本cat /etc/crontab

查看到在时间轮询中有一句不是自己创建的开机脚本为，说明是有个开机脚本是3分钟执行一次的gcc.sh脚本

于是我就先打开这个脚本看看里面写的到底是什么鬼东西

可以看到脚本的意思是不断地检测网卡的状态，不断地判断所有的网卡，不断的让网卡处于开启的状态。不断的与外界联系。

于是这个 /lib/libudev.so文件就需要查看一下里面到底是什么的

排查到这里我们可以确定有几个地方有问题

/lib/libudev.so

/etc/cron.hourly/gcc.sh

/etc/crontab

/etc.rc.d/init.d/ 这个文件夹下的所有文件全都是问题

/etc/rc.d/rc3.d/

通过排查可以肯定的是/lib/libudev.so是主体。其他是协助运行和自我保护自我复制的实现。既然这个程序在系统上，就可以把他处理掉。

重新开机重启，问题解决。

在排查的过程中发现有一个自我复制的程序，发现了异常有10位字母的启动脚本，打开之后的代码为：

在排查看是发现在/etc/rc.d/的整个文件夹下包括rc0.d rc1.d rc2.d rc3.d rc4.d rc5.d rc.6目录下面都有可疑程序

cat /etc/rc.d/rc0.d 下面确实这些可疑文件，删除即可.