发现服务器被入侵了，有图有真相

今晚更新了HomeServer，刚好准备上传到服务器上，把旧的HomeServer删掉。意外发现了一些莫名其妙的进程。

登录用户为hehe，是我很久之前创建的一个账户，密码估计也是hehe或者hehewater。

我很久没有使用过这个账户了，然后断定服务器被入侵了。hehe用户的密码也被修改了。使用下面的命令把hehe的进程结束掉：

ps aux | grep hehe | awk "{print $2}" | xargs kill -9

我查了一下登录痕迹，正好有记载，看来入侵的人只有普通用户权限。

似乎入侵者使用了代理，几次登录的IP都不一样。guest也是非法登录的，因为guest的密码很简单，就是guest。但是登录进去没有啥权限，只能ls，或者玩完代理，哈哈！不过我现在已经改了密码，ls命令也禁用了。

接着追踪一下入侵者的程序，其中有个程序名为a，则搜索一下目录。

find /  -name "a"

然后找到了位置在 /dev/shm/.scan/a

我进入 /dev/shm/.scan 一看，豁然开朗，哇，好多东东，都是我看不懂的东西。从文件内容来看，估计不是中国人用的东西。有些奇妙的字符~~

另外还有一个目录 /dev/shm/bp 也是 入侵者创建的。我现在把这些目录都给删除了！截图留念：

不过，这些文件我作了备份，大家可以下载研究一下：

http://home.xxsyzx.com/upfiles/scantools.tar 存档

总结了一下，入侵者利用guest和hehe的弱口令登录了进去，运行了自己的命令。而且vsftpd给本地用户也启用了，入侵者能够利用它来上传文件，或者更简单点时用wget来下载的。

哈哈，又让我想起之前某网站的后台管理和ewebeditor的登录账号都是admin，密码admin。