2달전에 해킹을 당한 서버가 있습니다...

대충 이럴때면 login 할때 패스워드 넣는 것도 겁이 나더군요.
키로그 같은 것이 돌고 있을 것 같아서 도저히...

이렇게요
echo *

[root@www bin]# echo *
arch awk basename bash bash2 cat chgrp chmod chown consolechars cp cpio cpujob csh cut date dd df dmesg dnsdomainname doexec domainname echo ed egrep ex false fastdecay fgrep gawk gawk-3.1.0 gettext grep gtar gunzip gzip hostname igawk iojob ipcalc kill ln loadkeys login ls lsmod mail mkdir mknod mktemp more mosrun mount mt mv netstat nice nisdomainname nodecay nomig pgawk ping ps pwd red rm rmdir rpm runhome runon rvi rview sed sh sleep slowdecay sort stty su sync tar tcsh touch true umount uname usleep vi view ypdomainname zcat

/bin/echo 파일까지 변조되었다면 모르겠지만
만약 아니라면 어설프게나마 파일 리스트는 확인할 수 있을겁니다.
도움이 되었으면 좋겠네요 ^^

만일 fileutils(혹은 binutils)를 다시 설치해도 ls나 ps시에 원하는 결과를 얻을 수
없을 경우라면 가장 크게 의심해야하는 부분은 shell입니다. 즉, bash나 csh이
바뀌어 있을 수가 있습니다.
가능하면 shell을 다시 설치하거나 /etc/inittab에서 도 바꿔 보시는게 어떨까요?
또한 /etc/passwd파일에 자신이 지정한 shell이 정확하게 지정되어있나를 살펴보시고요.
(가능하면 다른 shell -csh, tcsh등-을 지정해서 사용해 보시기 바랍니다.)
또한 /bin/bash, /bin/csh, /bin/tcsh등등의 크기와 날짜를 동일한 다른 서버의
크기와 날짜(다른 파일들과 동일한 설정이 되어있어야 합니다.)등을 비교해 보는것도
중요합니다.

만일 /bin에 있는 다른 명령어 파일들과 설치날짜가 틀리거나 다른 서버의 동일한
명령어가 크기가 다르다면(동일한 버젼일때...) 해당 파일을 다시 설치하는 것이
중요합니다.
이후 시스템을 리부팅해주는 것도 좋긴합니다만... 불가능하다면 새로접속을 시도
해보면 됩니다. 설치가 잘되었다면 새로 설치된 파일로 접근이 가능할 겁니다.
만일 이전과 똑같은 현상이 일어난다면 좀더 복잡한 즉 /sbin/rc같은 파일이
바뀌어 있을 수도 있습니다. 이파일도 날짜와 크기를 확인해보는 것도 좋을겁니다.