infectred linux image

vps с root/root

А что там чинить? Если хорошо поработать, то дыры там до посинения искать можно. Систему переустановить, данные восстановить.

vps с root/root

ещё хорошо идут такие:

root/password

Вряд ли... Способ починки на самом деле прост и одинаков на все случаи, для этого подойдёт любой дистрибутив.

1. Выключаешь скомпрометированную машину.

2. Снимаешь винт.

3. Загружаешь чистую машину (другую) с чистой ОС.

4. Подключаешь винт.

5. Руками переустанавливаешь там менеджер пакетов и всё ему нужное для работы, bash, glibc, binutils, короче весь toolchain, прямо вытаскивая бинари и либы из пакетов в другой консоли на основной системе, ни в коем случае не в чруте и не чрутясь вообще туда пока, записывая поверх.

6. Чрут в рут винта скомпрометированной машины.

7. Его средствами запускаешь проверку контрольных сумм всего установленного, переустанавливая пакеты к которым принадлежат изменённые файлы. Подобный функционал есть у любой системы управления пакетами.

8. Проверяешь конфиги и исправляешь то, через что тебя сломали.

9. Перепрошиваешь биос на скомпрометированной машине (paranoid mode on).

10. Втыкаешь обратно винт, запускаешься, nmap на себя, для уверенности.

самы дельный совет :)

Суть в том, что чинить поломанную систему изнутри неё самой - тупизм. Ты не можешь ничего гарантировать, ни на что нельзя полагаться. От тебя могут скрыть процессы, загруженные модули ядра, могут поправить менеджер пакетов так, что контрольные суммы изменённых установленных файлов сойдутся при проверке, могут на лету модифицировать запускаемые тобой инструменты и т.п. К тому же тебе могут подсадить код прямо в биос\уэфи и порутать снова после переустановки (экзотика, но потенциально такое возможно).

честно говоря я вроде бы знаю что делать в таком случае - я как раз ищу практику. За совет всё равно спосибо.

ubuntu 14.04

я как раз ищу практику

Какую? Собрался чинить поломанную систему изнутри? Это онанизм. Как ты будешь уверен что действительно её починил?

Чинить снаружи? Какая разница тогда между чистой и поломаной? Чини чистую, представь её поломанной, алгоритм так и так отрабатывать надо от начала до конца.

Подозреваю ты не в починке тренироваться желаешь, а в анализе успешной атаки? Так это уже другое дело, тогда переформулируй свой вопрос.

ээмэм - вот так написать я что-то не подумал. Спосибо.

толстяк

Вот то, что тебе нужно: http://habrahabr.ru/company/pt/blog/138779/

Рефлексировал, рефлексировал, да не вырефликсировал.

СпАсибо пишется через А.
Не благодари.