客戶門戶網站伺服器 (CentOS 5.5) 遭電信攔截：持續對外發送封包佔滿 100Mbps 頻寬。本文完整記錄從流量異常發現、ps/top 命令被替換確認 Rootkit、斷網分析日誌、定位攻擊源 IP、挖掘隱藏目錄與惡意程式、徹底清除並加固的應急響應全流程。
netstat -an 無 80 埠連線，ps -ef、top 無可疑進程 → **系統命令可能被替換**。md5sum 比對備份乾淨系統的 ps、top → **雜湊值不符，確認遭 Rootkit 入侵**。
物理拔網線或交換機關閉埠口，防止持續外洩/受控。
從同版本乾淨系統複製 /bin, /usr/bin, /sbin 至入侵主機 /mnt/bin，後續指令均用絕對路徑 /mnt/bin/ls、/mnt/bin/ps 等。
/mnt/bin/more /var/log/secure | /mnt/bin/grep Accepted
# 發現可疑紀錄：
# Oct 3 03:10:25 webserver sshd[20701]: Accepted password for mail from 62.17.163.186 port 53349 ssh2
mail 為系統內建帳號，預設無法登入，卻在凌晨 3 點從愛爾蘭 IP 成功登入。/etc/shadow 顯示 mail 已被設定密碼並允許遠端登入 → **攻擊者建立隱蔽後門帳號**。
/mnt/bin/cat /var/log/messages
/mnt/bin/cat /var/log/wtmp
# 均為空檔 → 攻擊者清理過日誌，但遺漏 secure
/mnt/bin/ps aux
# 發現可疑進程：
# nobody 22765 1 6 Sep29 ? 4-00:11:58 .t
# 佔用 98% CPU、91% 記憶體，運行 4 天
/mnt/bin/ls -al /proc/22765/exe
# lrwxrwxrwx 1 root root 0 Sep 29 22:09 /proc/22765/exe -> /var/tmp/.../apa/t
# 隱藏目錄 "/var/tmp/..." (三個點)
/mnt/bin/ls -al /var/tmp/...
# drwxr-xr-x 2 nobody nobody 4096 Sep 29 22:09 apa
# -rw-r--r-- 1 nobody nobody 0 Sep 29 22:09 apa.tgz
# drwxr-xr-x 2 nobody nobody 4096 Sep 29 22:09 caca
# drwxr-xr-x 2 nobody nobody 4096 Sep 29 22:09 haha
# -rw-r--r-- 1 nobody nobody 0 Sep 29 22:10 kk.tar.gz
# -rwxr-xr-x 1 nobody nobody 0 Sep 29 22:10 login
# -rw-r--r-- 1 nobody nobody 0 Sep 29 22:10 login.tgz
# -rwxr-xr-x 1 nobody nobody 0 Sep 29 22:10 z
攻擊者利用 /var/tmp 全域可寫特性，建立偽裝目錄 ... 隱藏掃描器、Rootkit 元件、後門登入程式。
pkill -9 -u nobody (確認無業務進程屬於 nobody)。rm -rf /var/tmp/...。userdel mail。/etc/passwd, /etc/shadow, /etc/group 異常帳號。/bin/ps, /usr/bin/top 等。rpm -Va 驗證所有 RPM 檔案完整性，重新安裝受損套件。rkhunter --check, chkrootkit。fail2ban。chattr +i 保護關鍵二進位與設定檔 (參考文章 43842)。| 弱點 | 攻擊手法 | 防禦對策 |
|---|---|---|
| 弱密碼/預設帳號開放登入 | SSH 暴力破解 → mail 帳號植入後門 | 禁用系統帳號登入、強制金鑰認證、fail2ban |
| /var/tmp 全域可寫 + noexec 缺失 | 上傳並執行惡意二進位 | 掛載 nosuid,noexec,nodev；定期掃描隱藏目錄 |
| 系統命令無完整性驗證 | Rootkit 替換 ps/top/netstat/ls 隱藏進程/埠口/檔案 | chattr +i 保護 /bin /sbin /usr/bin；AIDE/Tripwire 定期比對 |
| 日誌集中化缺失 | 攻擊者本地清理日誌銷毀證據 | syslog-ng/rsyslog 遠端日誌伺服器；日誌不可變屬性 |
