主機被入侵

今天晚上沒上WOW,
我睡到兩點,
起來研究一下到底發生什麼事情了,
根據我的log:

secure.11:Aug 14 19:59:56 xml sshd[1586]: Accepted password for elvis from ::ffff:172.177.88.204 port 1462 ssh2
secure.11:Aug 14 20:02:46 xml sshd[1681]: Accepted password for sundance from ::ffff:172.177.88.204 port 1473 ssh2
secure.9:Sep 2 22:56:23 xml sshd[18010]: Accepted password for elvis from ::ffff:172.177.4.94 port 1233 ssh2
secure.9:Sep 2 22:57:04 xml sshd[18068]: Accepted password for elvis from ::ffff:66.119.28.41 port 2308 ssh2
secure:Nov 1 01:23:21 xml sshd[1863]: Accepted password for elvis from ::ffff:172.158.162.10 port 1475 ssh2

看來被盯上很久了

當時是用elvis這帳號(我學弟的, 已經畢業兩年了...Orz)
執行一個程式叫做john
elvis 3098 0.0 0.0 4648 1380 ? Ss 01:53 0:00 SCREEN
elvis 3099 0.0 0.0 4304 1380 pts/1 Ss 01:53 0:00 /bin/bash
elvis 3119 87.2 0.0 1932 688 pts/1 RN+ 01:53 808:51 ./john all.lst shadow

去google查了一下john這隻程式:
http://www.openwall.com/john/doc/EXAMPLES.shtml

主要是用來暴力破解密碼用,
我想他跑到一半還沒跑完就被我踢出去了,
我只是想說主機有一點頓頓的,
奇怪怎麼會我學弟在跑程式,
而且還是從國外aol.com網路跑過來,

check一下主機帳號檔:
[root@xml chip]# ls -la /etc/shadow*
-rw-r--r-- 1 root root 1389 Nov 2 04:49 /etc/shadow

真的是很糟糕,
密碼檔不知道什麼時候被改成可讀,
(或許是webmin或我不小心? 或自動更新沒處理好?)
難怪會被try,

好久沒玩Fedora,
發現原來Fedora還有lagacy support,
http://www.fedoralegacy.org/#main

二話不說先裝上去啦,

另外發現Fedora在10/24發佈最新的Core 6,
撲...我還在用Core 3,
考慮有空整個重灌一下更新吧.