删除 perl rootkit 很痛苦

Question 1

如果我可以给你任何建议，那就是不要再浪费时间清理了。制作一个操作系统的映像以供日后取证，然后重新安装服务器即可。

抱歉，但这是解决您被 rootkit 攻击的唯一安全方法。

稍后您可以检查图像，了解发生这种情况的原因。

从我的亲身经历来看，我是这样做的，后来发现一个内部用户的 SSH 密钥包含 2008 年 openssl 的缺陷。

我希望这能澄清一切。

笔记：
如果你要在重新安装之前对服务器进行映像/备份，请非常小心，你该怎么做。正如@dfranke 所说，从受信任的介质启动到备份。

您不应该从 rooted 服务器连接到其他机器，因为众所周知，强大的 rootkit 能够通过 SSH 等受信任的会话进行传播。

Answer

如果我可以给你任何建议，那就是不要再浪费时间清理了。制作一个操作系统的映像以供日后取证，然后重新安装服务器即可。

抱歉，但这是解决您被 rootkit 攻击的唯一安全方法。

稍后您可以检查图像，了解发生这种情况的原因。

从我的亲身经历来看，我是这样做的，后来发现一个内部用户的 SSH 密钥包含 2008 年 openssl 的缺陷。

我希望这能澄清一切。

笔记：
如果你要在重新安装之前对服务器进行映像/备份，请非常小心，你该怎么做。正如@dfranke 所说，从受信任的介质启动到备份。

您不应该从 rooted 服务器连接到其他机器，因为众所周知，强大的 rootkit 能够通过 SSH 等受信任的会话进行传播。

Question 2

如果进程改变 argv[0]，命令行也会改变。尝试ls -l /proc/[pid]/exe

从man 5 proc

此文件是包含所执行命令的实际路径名的符号链接。此符号链接可以正常取消引用；尝试打开它将打开可执行文件。您甚至可以键入 /proc/[number]/exe 来运行与进程 [number] 正在运行的同一可执行文件的另一个副本。在多线程进程中，如果主线程已终止，则此符号链接的内容不可用

ps auxwf | less为您提供进程的“森林视图”，可以向您显示哪个进程启动了此进程（除非rootkit隐藏了它，或者应用程序的父级已退出并且已将其重新设置为init）。

这主要是学术性的，可能只是浪费时间，但strings -n 10 /proc/[pid]/mem看着过去可能会很有趣。您也可以echo 0x7 > /proc/[pid]/coredump_filter使用 gdbgcore强制进行核心转储，其中包含所有可能的内容，但随后进程会终止，这可能会阻止进一步的分析。

但一定要听从 Arenstar 的建议。只备份数据，从备份中恢复所有可执行文件，然后重新开始。您可能还应该从备份中恢复网站，因为每个 html 或 php 文件中都可能添加了恶意 javascript。如果您正在考虑采取法律行动，您只需将机器放在一边，将其从网络上拔下，并停止您正在做的一切，直到法医专家完成他们的工作。

Answer