CHNAGES:
2006-12-10 應網友需求，增加清理后門的具體操縱。
昨天承諾了給wzt找幾個linux肉雞測試措施的，打開http://www.milw0rm.com/webapps.php ，找了個include裂痕的措施試了一下，很快就獲得一個webshell，沒什么好說的，redhat9的呆板，然后localroot了一下。
插句話，本文中的ip地點和主機名都被替換了，請不要對號入座，本文手法僅供參考，在正規的入侵檢測操縱中，我們照舊需要留意許多流程和細節上的問題。別的本文對一些根基觀念可能措施之類的不做表明，假如有不大白的處所，請教google。
進了肉雞，換上我們的ssh后門，詳細的要領可以在http://baoz.net 或http://xsec.org 上找到，帶視頻教程:) 假如看完視頻之后尚有疑問，可以到http://cnhonker.com/bbs/ 的linux版交換一下。
一進ssh，哦，奇怪，米國人民問候韓國人民？有異樣……
Last login: Fri Nov 17 08:21:14 2006 from ac9e2da9.ipt.aol.com
好奇，掃一下。
[[email protected] ~]$ nmap -P0 ac9e2da9.ipt.aol.com -O
進了呆板第一個事就是看看是不是vmware，是的話趕忙跑路了，別掉到人家的破罐子里去了，呵呵
來，看看：
##查抄是不是vmware的呆板
[[email protected] root]# ifconfig -a | grep -i -e "00-05-69" -e
"00-0C-29" -e "00-50-56"; dmesg | grep -i vmware
假如沒輸出的話，還好。。。。就算是個honeypot，好歹也是投資了點設備的honeypot。繼承看看他投資了什么設備：
[[email protected] root]# cat /proc/cpuinfo | grep name;cat /proc/meminfo
| grep MemTotal
model name : Intel(R) Xeon(TM)
CPU 2.80GHz
model name : Intel(R) Xeon(TM)
CPU 2.80GHz
model name : Intel(R) Xeon(TM)
CPU 2.80GHz
model name : Intel(R) Xeon(TM)
CPU 2.80GHz
MemTotal: 1030228 kB
還可以的呆板，固然4CPU卻只有1G的內存，有點怪，可是照舊委曲了，跑個暗碼什么的也行。
關于anti-honeynet，下面有兩個文章不錯，不外都是針對vmware可能User Mode
Linux的了，假如人家用真實呆板，那還得靠人品啊，呵呵。
http://xsec.org/index.php?module=archives&act=view&type=3&id=5
http://xsec.org/index.php?module=archives&act=view&type=3&id=6
關于honeynet和anti-honeynet的接頭，可以來這里聊聊
http://cnhonker.com/bbs/thread.php?fid=15&type=1
空話少說，接下來第二個事就是看看有沒道友在上面，有的話就欠盛情思了，得請出去:)
一般我城市先打幾個呼吁看看，因為有些rootkit他改的欠好，可能是因為版本的問題，橫豎不管什么原因，有一些被替換了的措施的一些參數會沒有的。
[[email protected] root]# ls -alh
ls: invalid option -- h
Try `ls --help' for more information.
呵呵，ls被替換了。在看看netstat
[[email protected] root]# netstat -anp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local
Address
Foreign Address
State PID/Program
name
tcp 0 0
0.0.0.0:80
0.0.0.0:* LISTEN 1702/httpd
tcp 0 0
0.0.0.0:22
0.0.0.0:* LISTEN 1516/sshd
tcp 0 0
127.0.0.1:25 0.0.0.0:* LISTEN 1540/
tcp 0 300
123.123.123.123:22
10.20.30.40:2245 ESTABLISHED
6097/sshd:
tcp 0 0
123.123.123.123:22
10.20.30.40:2247 ESTABLISHED
6815/sshd:
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags
Type
State I-Node
PID/Program name Path
unix 2 [ ACC
] STREAM
LISTENING 121430
6815/sshd: /tmp/ssh-vfJj6815/agent.6815
unix 2 [ ACC
] STREAM
LISTENING 116904
6097/sshd: /tmp/ssh-weHq6097/agent.6097
unix 6 [
]
DGRAM 1560
1476/syslogd /dev/log
unix 2 [
]
DGRAM 1771
1570/crond
unix 2 [
]
DGRAM 1728
1549/
unix 2 [
]
DGRAM 1714
1540/
unix 2 [
]
DGRAM 1568
1480/klogd
看起來貌似還算正常。