Что за чёрт?

Эх, надо было

cat /proc/68190/cmdline

пока он ещё работал! Всё б ясно стало сразу.

И кстати, что-то типа

strace -f -e trace=open -p NNNN

тоже забавные данные может выдать. Хотя это, конечно, всё кустарщина, но если из любопытства, то почему бы и нет.

Здорово, надо бы поконкретнее POSIX изучить уже. А то я всё умал, как же узнать, какой же скрипт исполняется перлом (тот, который ддосит).

Посмотрел. perlmeta.pl

Осталось найти его и посмотреть, что это за фигня.

find / -name perlmeta.pl ничего не находит. Шифруются, сволочи. Как вычислить, откуда оно?

руткит ?

> Шифруются, сволочи. Как вычислить, откуда оно?

может упаковано где.. попробуй через grep все файлы прогнать.

ну или -name "*perlmeta*"

Я и так понимаю, что это, скорее всего руткит. Избавляться от него я не собираюсь, но хочется, например, воспользоваться им. Или узнать его тип.

/etc/rc.d/ смотрел?
/usr/local/etc/rc.d/ смотрел?

Поискал архивы в /home, нашёл ещё несколько psybnc :)

разумеется

PID   USERNAME         THR PRI NICE   SIZE  RES   STATE    TIME   WCPU COMMAND
68190 www                1  -8    0  1872K  1428K biord    0:07  1.71% find

Может быть ротатор логов или индексатор файлов хоста/web-сервера какой-нибудь. У меня тоже в системе периодически шевыряется find.

Я бы на твоём месте сделал:

% rm -rf /usr/local

«noexec» на /tmp — полумера, ничего не даёт, кроме головной боли по обновлению портов.

А и правда ведь

pgrep -u www | sed 's/^/-p/' | xargs strace -f -e trace=process 2>trace.log

Даст всю инфу по fork, exec и всему что с сигналами связано для юзера www. Правда, trace.log получится дюже здоровый.

Я и так почти уверен, что система скомпрометирована :). Хотелось бы знать, как именно. Причём чтобы не пришлось делать кардинальных движений вроде этого. Пользователей завтра-послезавтра на новый сервер переносить начну всё равно.

rkhunter - поставь. и сделай nmap . попробуй в режим single(в разных дистрах по-разному в rhel - 2 уровень исполнения) правда нужен будет физический доступ к серваку ибо без сети уровень исполнения.

Последнее не прокатит. У них KVM-over-IP платный, не то что у будущего хостера. Плалить за любопытство неохота :). Первые два попробую.

«noexec» на /tmp — полумера, ничего не даёт, кроме головной боли по обновлению портов.

Ясно. Посоветуешь что-нибудь почитать базовое про секьюрити? Ну вот что стоит делать на машинке (виртуалка openvz), на которой из сетевых демонов только апач+mod_php (на один сайт, т.е. без виртуального хостинга) и sshd?

>попробуй в режим single(в разных дистрах по-разному в rhel - 2 уровень исполнения)

Хм. А я думал, что это многопользовательский, но без графики и NFS.

Комменты inittab какбэ намекают:
>1 - Single user mode
>2 - Multiuser, without NFS (The same as 3, if you do not have networking)

И в RH, и в дебе single это 1.

Ну а вообще я обычно просто добавляю к параметрам ядра единичку через grub :)

Выдерка из rkhunter -c:

  Performing file properties checks
    Checking for prerequisites                               [ Warning ]
  Performing check for backdoor ports
    Checking for TCP port 2128                               [ Warning ]
  Performing filesystem checks
    Checking for hidden files and directories                [ Warning ]

Насчёт бэкдора ясно :). sockstat -4 | grep 2128 ничего не выдаёт, как и netstat -an | grep 2128, что неудивительно для руткита. Как дальше его вычислять?

лог посмотри rkhunter . он немного параноидален )

1. см. /var/log/rkhunter.log
2. см. порт 2128 на всех своих айпишниках через nmap (некоторые руткиты прячут свои сокеты от всяких статов).

«noexec» на /tmp — полумера, ничего не даёт, кроме головной боли по обновлению портов.

Так что, не посоветуешь мер по безопасности, помимо noexec/nosuid на /tmp и /home?