2欧独服被人爆了。。。

skywing

晕死 我自己不太确定是不是被人爆了 高手来帮忙看下
last命令是不是记录系统安装以后的登陆启动日志？ 如果是的话 我的last日志就被人删除过了 只有今天的登陆重启日志 独服已经上线近一个星期了 之前的记录全不见了。。。
我搞不懂的是 那人既然爆了我的机器为什么不连我的密码也修改了 我的系统是ubuntu12.04 不能直接root登陆 日常操作都是一个有sudo权限的帐户完成的 系统也只有这一个帐户 他应该是爆了我这个帐户的密码
我刚才SSH登陆上去 一登就被断开连接 一登就被断开连接  他为什么要这样做 直接改密码不让我登陆就好了嘛 为什么要这么麻烦断我的连接？

槛外人

你既然是密匙登陆即使知道root密码也没啥用吧。

skywing

1. root@sd-26688:/home/xxx# last
   
2. xxx  pts/0        ***.***.***.***    Mon Sep  1 18:53   still logged in   
   
3. reboot   system boot  3.2.0-67-generic Mon Sep  1 18:52 - 19:09  (00:17)   
   
4. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:49 - down   (00:00)   
   
5. reboot   system boot  3.2.0-67-generic Mon Sep  1 18:49 - 18:50  (00:00)   
   
6. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:47 - down   (00:00)   
   
7. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:46 - 18:47  (00:00)   
   
8. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:43 - 18:44  (00:00)   
   
9. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:41 - 18:42  (00:00)   
   
10. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:41 - 18:41  (00:00)   
    
11. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:39 - 18:40  (00:00)   
    
12. xxx  pts/1        ***.***.***.***    Mon Sep  1 18:39 - 18:39  (00:00)   
    
13. 
    
14. wtmp begins Mon Sep  1 18:39:00 2014

复制代码

skywing

wtmp文件是从今天的18点39才开始记录的 肯定有问题
晕死 之前的两台BUYVM VPS三年了都没给人爆了 这个不到一星期就被人爆了 两天前我还发了个贴说机器好像不正常了 可能早就被人给爆了

orvice

用key登录了就顺便ban掉密码登录呗

skywing

槛外人 发表于 2014-9-1 19:02
你既然是密匙登陆即使知道root密码也没啥用吧。

这个没有设密匙密码 设一个普通帐户登陆  通过sudo完成需要root权限的操作 root不能直接登陆 是空密码 ubuntu初始安装都是这样的设定

skywing

来个高手 我给你root帐户你帮我上去看看能不能找出些蛛丝马迹 既然把日志全删除了 估计也不是什么高级黑客 谢谢了

jiajieit

爆得好，谁叫你不卖呢。

欧阳逍遥

抓紧备份数据 查后门。 重做系统。是正事。
查出了蛛丝马迹又能怎样？

skywing

jiajieit 发表于 2014-9-1 19:17
爆得好，谁叫你不卖呢。

你这是什么逻辑 我不做黄牛还有错了？