서버가 해킹당한것 같아요..

안녕하세요...

비가 오락가락하는 저녁이네요..

회사 웹서버가 해킹당한것 같습니다.

Redhat Linux Fedora4 구요...

우선 crontab에 등록하지 않은 내용이 2줄 추가되어 있더군요..ㅜ.ㅜ

* * * * * /etc/.etc/iroffer1.4.b03/iroffer.cron
0 0 * * * /var/local/logs/kernel/system/bin/reset -e -r /var/local/logs/kernel/kernel.conf

/var/local/logs/kernel 안에 보니까...

시스템에서 사용하는 명령어들의 이름을딴 쉘파일들이 우루루 들어있더군요...

그리고 /etc/rc.d/rc.local 에...

/bin/system

이 등록되어있는데..

실제로

-rwxr-xr-x 1 root root 7313 May 25 2005 /bin/system

위 파일이있는데... 안지워집니다..

[root@web ~]# rm -f /bin/system
rm: cannot remove `/bin/system': 명령이 허용되지 않음
[root@web ~]#

또 한가지 /var/log 에 파일들도 루트권한으로도 안지워집니다.

시스템에서 사용되는 명령어들도 변경된듯 합니다.

rm 도 변경되어서 지워지지 않는것인지도 모르겠네요..

/bin/의 일부만 보면...

[root@web bin]# ll
total 6400
drwxr-xr-x 2 root root 4096 Jun 28 17:17 .
drwxr-xr-x 29 root root 4096 Jun 29 20:02 ..
-rwxr-xr-x 1 root root 4760 May 4 2005 arch
lrwxrwxrwx 1 root root 4 Sep 15 2005 awk -> gawk
-rwxr-xr-x 1 root root 17248 May 25 2005 basename
-rwxr-xr-x 1 root root 686520 May 11 2005 bash
-rwxr-xr-x 1 root root 21104 May 25 2005 cat
-rwxr-xr-x 1 root root 38828 May 25 2005 chgrp
-rwxr-xr-x 1 root root 38464 May 25 2005 chmod
-rwxr-xr-x 1 root root 41852 May 25 2005 chown
-rwxr-xr-x 1 root root 63256 May 25 2005 cp
-rwxr-xr-x 1 root root 103888 May 17 2005 cpio
lrwxrwxrwx 1 root root 4 Sep 15 2005 csh -> tcsh
-rwxr-xr-x 1 root root 32312 May 25 2005 cut

삭제되지 않는 파일들과, 변경이 의심되는 파일들은

한결같이 날짜가 May 25 2005 로 되어있습니다.

로그에 기록같은거도 안남아있고요...

불행중 다행인지도 모르겠지만, 웹서버가 동작하는데 이상은 없네요.

어찌해야 할런지요... 또한 지워지지않는 파일들은 어떻게 지워야할지 고민이네요..

그럼 도와주시리라 믿고 이만 물러갑니다..

에효...