[이현철]님이 남기신 글:
>-----------------------------------------
>답변자가 기본적으로 참고할 내용입니다.
>- 배포판(옵션) :
>- 커널버전(옵션) :
>- 데몬버전(예:apache 1.3.27) :
>- 데몬설치유형(RPM/컴파일/기타) :
>-----------------------------------------
> 하나 여쭈어 볼려고 합니다
>서버에 몇칠전부터 접속해 있는 사용자를 조사해보면
>[test-mgr@mail ]$ finger
>Login Name Tty Idle Login Time Office Office Phone
>test-mgr pts/1 Nov 15 13:15 (xxx.xxx.xxx.xxx -- 제가 접속해 있는 아이피)
>test-mgr *pts/6 319d Nov 11 16:43 (xxx.xxx.xxx.xxx --제가 접속해 있는 아이피)
>
>그런데 pts/6을 보면 엄청 오랜시간동안 접속 된것같은데 저 말고 접속한 사람이 없는데 말이죠.
>root@mail ]# ps -ef |grep pts*
>test-mgr 21970 21953 0 13:15 pts/1 00:00:00 -bash
>test-mgr 22007 21970 0 13:16 pts/1 00:00:00 bash
>root 8555 22007 0 19:16 pts/1 00:00:00 su
>root 8562 8555 0 19:16 pts/1 00:00:00 bash
>root 9514 8562 0 19:18 pts/1 00:00:00 ps -ef
>root 9515 8562 0 19:18 pts/1 00:00:00 grep pts*
>[root@mail ]# ps -ef |grep pts/6
>root 9487 8562 0 19:18 pts/1 00:00:00 grep pts/6
>
>위처럼 pst/6 를 통한 터미널 접속 데몬이 없는데 말이죠..
>단순한 finger 명령어 오류일까요.. 뭐 운영중인 서버를 리부팅하기도 그렇고..해서... 어떻게 다르게 찾아보는 방법이 없는지요..
>
/etc/profile 의 제일 밑줄에
# 아무런 작업이 없을 경우 30분후에 세션을 종료함
export TMOUT=1800
이와같이 초단위로 설정해 보세요.
>
>여쭈어 보는 김에 하나더 여쭈어 보겠습니다.
>아무래도 해킹당하는것 같은데 말이죠..
>요 근래.. 시스템이 이상해서.. 체크 도중에 보니.
>보통 가끔씩 nmap 으로 아래같이 포트 체크를 하곤 합니다.
>[root@mail log]# nmap localhost
>
>Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )
>Interesting ports on localhost.localdomain (127.0.0.1):
>(The 1549 ports scanned but not shown below are in state: closed)
>Port State Service
>22/tcp open ssh
>25/tcp open smtp
>80/tcp open http
>110/tcp open pop-3
>3306/tcp open mysql
>
>위와 같이 정상적이 것이 가끔씩 아래와 같이 변하고 있습니다.
>[root@mail mail]# nmap localhost
>
>Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )
>Interesting ports on localhost (203.210.200.140):
>
>/////
>$$$$위의 localhost IP가 203.210.200.140 이런씩으로 바뀌어서 조사되고 있습니다. 203.210.200.140 아이피를 조사해보면 베트남아이피 이고 저희회사랑
>아무상광없는데 nmap localhost 했을때 아이피가 203.210.200.140 나오면서
>포트 결과는 아래 같이 나옵니다.
>
>(The 1541 ports scanned but not shown below are in state: filtered)
>Port State Service
>20/tcp closed ftp-data
>21/tcp open ftp
>22/tcp closed ssh
>25/tcp open smtp
>37/tcp closed time
>53/tcp open domain
>110/tcp open pop-3
>113/tcp closed auth
>161/tcp closed snmp
>443/tcp open https
>3306/tcp closed mysql
>8080/tcp open http-proxy
>10000/tcp closed snet-sensor-mgmt
>
>
>또한 특정 포트만을 조사하면 .
>
>[root@mail mail]# nmap -p 22,25,80,110,3306,8080 localhost
>
>Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )
>Interesting ports on localhost (203.210.200.140):
>(The 2 ports scanned but not shown below are in state: closed)
>Port State Service
>25/tcp open smtp
>80/tcp filtered http
>110/tcp open pop-3
>8080/tcp open http-proxy
>
>우와 같이 나오는데 80포트가 filtered 형태로 변해져 있는것을 확인할수있었습니다.
>
>그리고 몇시간 후에 다시 해보면 정사적인 nmap
>[root@mail log]# nmap localhost
>
>Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )
>Interesting ports on localhost.localdomain (127.0.0.1):
>(The 1549 ports scanned but not shown below are in state: closed)
>Port State Service
>22/tcp open ssh
>25/tcp open smtp
>80/tcp open http
>110/tcp open pop-3
>3306/tcp open mysql
>형태로 나오고 있습니다. 물론 도메인으로 조사를 해봐도 같은 형상입니다.
>이런 형상이 있는 동안 log 를 조사중에 보니
>
> 11/09 (非常）
>root@mail log]# grep 203.210.200.140 /var/log/maillog | more
>Nov 10 09:40:02 mail NeoMailXfer[4286]: iAA0e1bI004286: from=<root@도메인>, size=1209, class=0, nrcpts=1, msgid=<200411082250.iA8MoBB2012992@도메인>, proto=ESMTP, daemon=Daemon0, relay=localhost [203.210.200.140]
>
>//위와 같이 root에게 가야할 메일이 [203.210.200.140] 로 보내진것을 알수있었습니다.
>
>
>보통은 아래같은 경우를 보면 정상적으로 localhost에 가는것인데요..
>11/04 rootメール （正常）
>Nov 4 05:00:00 mail NeoMailXfer[1946]: iA3K00bI001946: from=<root@도메인>, size=513, class=0, nrcpts=1, msgid=<200411032000.iA3K00jS001925@도메인>, proto=ESMTP, daemon=Daemon0, relay=localhost.localdomain [127.0.0.1]
>
>요 몇칠사이에는 다시 정상으로 돌아왔지만. 여러가지 체크 툴과 find 및 프로세스를 조사해봤지만 의심할만한 프로세스 라든지 백도어는 없는데..
>아마도 정신건강에 좋치 않았서..말이죠...
>
>산이님의 의견을 얻고자 합니다...
프로그램이 내부적으로 사용하는 경우도 있습니다.
(예를들어 센드메일 573(?) 포트 같은 경우)
그리고 203.210.200.140 이 IP 주소가 서버IP 주소라면 염려할 필요없습니다.
/var/log/messages 파일을 주기적으로 검사해보는 것이 오히려
더 정확할 수 도 있습니다. |
sun's longitude:242 26 4.96
/board/delete.php:소스보기 
