Отправляет email-рассылки с помощью сервиса Sendsay

Linux: разрешение вопросов, перспективы и общение

Подписаться Бесплатный дискуссионный лист Подписчиков 997
←   Май 2005   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
09.05.2005
18:17:06
23:35:47
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


За последние 60 дней ни разу не выходила


Сайт листа: http://www.linuxrsp.ru
Открыт: 25-07-2003
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.linux.discuss-list@subscribe.ru
Адрес модератора: comp.soft.linux.discuss-owner@subscribe.ru

Модератор
Фёдор Сорекс

Статистика

997 подписчиков
0 за неделю

что есть udp mdbs_daemon и почему он у меня открыт?

Доброго дня!

Вообщем сабж, гугль не помог :(.

Ответить   Oleg Ponomarev Tue, 17 May 2005 13:12:06 +0300 (#368984)

 

Ответы:

В сообщении от 17 Май 2005 14:12 Oleg Ponomarev написал(a):

Вы не туда копаете. Ищите (с помощью netstat -lp) того, кто его открыл.

Ответить   "Sergey B. Khvatov" Tue, 17 May 2005 14:36:02 +0400 (#369002)

 

Sergey B. Khvatov пишет:

В том то и дело, что не видно кто:
# netstat -lp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address
State PID/Program name
tcp 0 0 gtw.vatfarm.firm:ssh *:*
LISTEN 85/sshd
udp 0 0 *:mdbs_daemon
*:* -
Active UNIX domain sockets (only servers)
Proto RefCnt Flags Type State I-Node PID/Program
name Path

Ответить   Oleg Ponomarev Tue, 17 May 2005 14:58:45 +0300 (#369062)

 

В сообщении от 17 Май 2005 15:58 Oleg Ponomarev написал(a):

Плохая новость - похоже на kernel rootkit, который скрывает процессы от /proc

Ответить   "Sergey B. Khvatov" Tue, 17 May 2005 16:29:26 +0400 (#369080)

 

Sergey B. Khvatov пишет:

Лечение ?

Ответить   Oleg Ponomarev Tue, 17 May 2005 16:31:04 +0300 (#369098)

 

В сообщении от 17 Май 2005 17:31 Oleg Ponomarev написал(a):

Это только советы:

Прежде всего отключайтесь от сети и не подключайтесь до конца лечения.

Переустановите потенциально опасные программы и программы, работающие с сетью.

Посмотрите по стартовым скриптам, не грузятся ли подозрительные модули.

Поставьте другое ядро, или то же самое, предварительно удалив все модули,
только это опасно.

Ответить   "Sergey B. Khvatov" Tue, 17 May 2005 18:11:37 +0400 (#369118)

 

Sergey B. Khvatov пишет:

угу

кто из них потенциально опасен? :)

это я сделал в первую очередь.

это видимо самый верный вариант решения!!!

Теперь остался вопрос, так что это за фигня - mdbs_daemon ?

Ответить   Oleg Ponomarev Tue, 17 May 2005 20:27:44 +0300 (#369234)

 

В сообщении от 17 Май 2005 21:27 Oleg Ponomarev написал(a):

В первую очередь те, кто имеют права root: su, sudo, login,... - это далеко не

полный список.

Те, кто работают с сетью - ip, ifconfig, netstat, tcpdump,.. - тоже список
далеко не полный.

Кстати, если у вас rpm-based система, и в базе порядок, то проверьте все
пакеты - я пока не встречал злоумышленников, скрывших свои следы в rpm
database.

Посмотрите в www.iana.org. Только скорее всего злоумышленником используется
произвольный порт, и сервис, зарегистрированый за ним тут не при чём.

Ответить   "Sergey B. Khvatov" Wed, 18 May 2005 10:35:22 +0400 (#369500)

 

Sergey B. Khvatov пишет:

Спасибо, тема закрыта!

Ответить   Oleg Ponomarev Wed, 18 May 2005 11:53:54 +0300 (#369558)