Posts - 847,
Articles - 0,
Comments - 1578
15:09 by 潇湘隐者, ... 阅读,
&&&& Linux服务器一直给我们的印象是安全、稳定、可靠，性能卓越。由于一来Linux本身的安全机制，Linux上的病毒、木马较少，二则由于宣称Linux是最安全的操作系统，导致很多人对Linux的安全性有个误解：以为它永远不会感染病毒、木马；以为它没有安全漏洞。所以很多Linux服务器都是裸奔的。其实在这次事件之前，我对Linux的安全性方面的认识、重视程度也是有所不足的。系统的安全性是相对而言的，没有绝对的安全，风险无处不在。
& 案例描述
我们在云端（中信国际电讯CPC)的一台Linux 应用服务器时不时出现网络中断情况，最开始反馈到系统管理员和网络管理员哪里，以为是网络方面的问题。在监控系统后，发现在一些时间段出现高流量的情况，分析发现这台Linux服务器只安装了Tomcat应用程序，没有任何其它应用程序。产生如此大的流量很不正常，而且出现网络中断的时刻，就是系统产生高流量的时刻。当然这些都是我后来才了解到的一些情况，我没有这台服务器的权限，系统管理员找我看看能分析出啥问题，所以将root账号权限给了我。
& 案例分析
我连接到服务器后，运行ifconfig命令，检查网卡的发送、接收数据情况，如下所示，网卡eth0累计发送了12.3TB的数据。这明显不太正常，显然有应用程序一直在往外发包。我特意对比了另外一台正常的服务器后，验证了这个事实。
那么是那个应用程序在一直往外发送包呢？ 我首先检查了Linux系统日志，发现了一些错误、告警信息。但是作用不大。于是在服务器上安装了NetHogs应用程序，实时监控Linux进程的网络带宽占用情况。
监控过程确实发现了一些异常情况的进程：
1：/home/WDPM/Development/WebServer/apache-tomcat-7.0.61/cmys 一直在往外发包
2：/usr/bin/bsd-port/agent 一直在往外发包。
3：./cmys一直在往外发包
4：不时出现下面大量异常进程
[root@LNX17 /]# ps -ef | grep gettyroot&&&&& 2012&&&& 1& 0 May22 tty2&&&& 00:00:00 /sbin/mingetty /dev/tty2root&&&&& 2014&&&& 1& 0 May22 tty3&&&& 00:00:00 /sbin/mingetty /dev/tty3root&&&&& 2018&&&& 1& 0 May22 tty4&&&& 00:00:00 /sbin/mingetty /dev/tty4root&&&&& 2020&&&& 1& 0 May22 tty5&&&& 00:00:00 /sbin/mingetty /dev/tty5root&&&&& 2022&&&& 1& 0 May22 tty6&&&& 00:00:00 /sbin/mingetty /dev/tty6root&&&& & 0 01:02 pts/0&&& 00:00:00 grep getty[root@LNX17 tmp]# ll /usr/bin/bsd-port/total 2324-rwxr-xr-x. 1 root root 1135000 Jul 17 08:28 agent-rwxr-xr-x. 1 root root&&&&&& 4 Jul 17 08:28 agent.conf-rw-r--r--. 1 root root&&&&& 27 Jul 21 12:42 cmd.n-rw-r--r--. 1 root root&&&&& 73 Aug 21 21:30 conf.n-rwxr-xr-x. 1 root root 1223123 Aug 21 04:08 getty-rwxr-xr-x. 1 root root&&&&&& 5 Aug 21 04:08 getty.lock
搜索/usr/bin/bsd-port/agent等进程相关资料，发现很多关于木马、后门方面的文章，严重怀疑服务器被挂马了。手工杀进程或手工删除/home/WDPM/Development/WebServer/apache-tomcat-7.0.61/cmys文件，发现不过一会儿，又会出现相同的进程和文件。于是下载安装了AVG ANTIVIRUS FREE - FOR LINUX这款杀毒软件，但是启动服务失败，不想折腾，于是安装了ClamAV 杀毒软件
& ClamAV介绍
& ClamAV是一个在命令行下查毒软件，因为它不将杀毒作为主要功能，默认只能查出您计算机内的病毒，但是无法清除，至多删除文件。ClamAV可以工作很多的平台上，但是有少数无法支持，这就要取决您所使用的平台的流行程度了。另外它主要是来防护一些WINDOWS病毒和木马程序。另外，这是一个面向服务端的软件。
& 下载ClamAV安装包
&&& ClamAV的官方下载地址为 我直接使用wget下载源码安装文件。
[root@LNX17 tmp]# wget http://nchc.dl.sourceforge.net/project/clamav/clamav/0.97.6/clamav-0.97.6.tar.gz-- 21:58:36--& http://nchc.dl.sourceforge.net/project/clamav/clamav/0.97.6/clamav-0.97.6.tar.gzResolving nchc.dl.sourceforge.net... 211.79.60.17, 2001:e10:ffff:1f02::17Connecting to nchc.dl.sourceforge.net|211.79.60.17|:80... connected.HTTP request sent, awaiting response... 200 OKLength: M) [application/x-gzip]Saving to: “clamav-0.97.6.tar.gz”&100%[==============================================================&] 14,765,896&& 652K/s&& in 71s&&&& & 21:59:48 (204 KB/s) - “clamav-0.97.6.tar.gz” saved [65896]&[root@LNX17 tmp]# wget http://nchc.dl.sourceforge.net/project/libpng/zlib/1.2.7/zlib-1.2.7.tar.gz-- 22:00:24--& http://nchc.dl.sourceforge.net/project/libpng/zlib/1.2.7/zlib-1.2.7.tar.gzResolving nchc.dl.sourceforge.net... 211.79.60.17, 2001:e10:ffff:1f02::17Connecting to nchc.dl.sourceforge.net|211.79.60.17|:80... connected.HTTP request sent, awaiting response... 200 OKLength: 7K) [application/x-gzip]Saving to: “zlib-1.2.7.tar.gz”&100%[=============================================================&] 560,351&&&&& 287K/s&& in 1.9s&&& & 22:00:26 (287 KB/s) - “zlib-1.2.7.tar.gz” saved [351]
& 1、zlib-1.2.7.tar.gz安装
[root@LNX17 tmp]# tar xvzf zlib-1.2.7.tar.gz[root@LNX17 tmp]# cd zlib-1.2.7[root@LNX17 zlib-1.2.7]# ./configure Checking for gcc...Checking for shared library support...Building shared library libz.so.1.2.7 with gcc.Checking for off64_t... Yes.Checking for fseeko... Yes.Checking for strerror... Yes.Checking for unistd.h... Yes.Checking for stdarg.h... Yes.Checking whether to use vs[n]printf() or s[n]printf()... using vs[n]printf().Checking for vsnprintf() in stdio.h... Yes.Checking for&return value of vsnprintf()... Yes.Checking for attribute(visibility) support... Yes.Looking for a four-byte integer type... Found.[root@LNX17 zlib-1.2.7]# make && make installgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -c -o example.o test/example.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o adler32.o adler32.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o crc32.o crc32.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o deflate.o deflate.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o infback.o infback.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o inffast.o inffast.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o inflate.o inflate.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o inftrees.o inftrees.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o trees.o trees.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o zutil.o zutil.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o compress.o compress.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o uncompr.o uncompr.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o gzclose.o gzclose.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o gzlib.o gzlib.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o gzread.o gzread.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN&& -c -o gzwrite.o gzwrite.car rc libz.a adler32.o crc32.o deflate.o infback.o inffast.o inflate.o inftrees.o trees.o zutil.o compress.o uncompr.o gzclose.o gzlib.o gzread.o gzwrite.o gcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o example example.o -L. libz.agcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -c -o minigzip.o test/minigzip.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o minigzip minigzip.o -L. libz.agcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/adler32.o adler32.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/crc32.o crc32.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/deflate.o deflate.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/infback.o infback.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/inffast.o inffast.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/inflate.o inflate.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/inftrees.o inftrees.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/trees.o trees.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/zutil.o zutil.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/compress.o compress.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/uncompr.o uncompr.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzclose.o gzclose.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzlib.o gzlib.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzread.o gzread.cgcc -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -DPIC -c -o objs/gzwrite.o gzwrite.cgcc -shared -Wl,-soname,libz.so.1,--version-script,zlib.map -O3& -fPIC -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o libz.so.1.2.7 adler32.lo crc32.lo deflate.lo infback.lo inffast.lo inflate.lo inftrees.lo trees.lo zutil.lo compress.lo uncompr.lo gzclose.lo gzlib.lo gzread.lo gzwrite.lo& -lc rm -f libz.so libz.so.1ln -s libz.so.1.2.7 libz.soln -s libz.so.1.2.7 libz.so.1gcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o examplesh example.o -L. libz.so.1.2.7gcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o minigzipsh minigzip.o -L. libz.so.1.2.7gcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -D_FILE_OFFSET_BITS=64 -c -o example64.o test/example.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o example64 example64.o -L. libz.agcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -I. -D_FILE_OFFSET_BITS=64 -c -o minigzip64.o test/minigzip.cgcc -O3& -D_LARGEFILE64_SOURCE=1 -DHAVE_HIDDEN -o minigzip64 minigzip64.o -L. libz.acp libz.a /usr/local/libchmod 644 /usr/local/lib/libz.acp libz.so.1.2.7 /usr/local/libchmod 755 /usr/local/lib/libz.so.1.2.7cp zlib.3 /usr/local/share/man/man3chmod 644 /usr/local/share/man/man3/zlib.3cp zlib.pc /usr/local/lib/pkgconfigchmod 644 /usr/local/lib/pkgconfig/zlib.pccp zlib.h zconf.h /usr/local/includechmod 644 /usr/local/include/zlib.h /usr/local/include/zconf.h
& 2：添加用户组clamav和组成员clamav
[root@LNX17 zlib-1.2.7]# groupadd clamav[root@LNX17 zlib-1.2.7]# useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav[root@LNX17 zlib-1.2.7]#
3：安装Clamav-0.97.6
[root@LNX17 tmp]# tar xvzf clamav-0.97.6.tar.gz[root@LNX17 tmp]# cd clamav-0.97.6[root@LNX17 clamav-0.97.6]# ./configure --prefix=/opt/clamav& --disable-clamav[root@LNX17 clamav-0.97.6]# make[root@LNX17 clamav-0.97.6]# make install
& 配置Clamav
1：创建目录
[root@LNX17 clamav-0.97.6]# mkdir /opt/clamav/logs &[root@LNX17 clamav-0.97.6]# mkdir /opt/clamav/updata
2：创建文件
[root@LNX17 clamav-0.97.6]# touch /opt/clamav/logs/freshclam.log[root@LNX17 clamav-0.97.6]# touch /opt/clamav/logs/clamd.log[root@LNX17 clamav-0.97.6]# &[root@LNX17 clamav-0.97.6]# cd /opt/clamav/logs[root@LNX17 clamav]# cd logs[root@LNX17 logs]# lsclamd.log& freshclam.log[root@LNX17 logs]# ls -lrttotal 0-rw-r--r--. 1 root root 0 Aug 21 22:10 freshclam.log-rw-r--r--. 1 root root 0 Aug 21 22:10 clamd.log
3:修改属主
[root@LNX17 logs]# chown clamav:clamav clamd.log [root@LNX17 logs]# chown clamav:clamav freshclam.log [root@LNX17 logs]# ls -lrttotal 0-rw-r--r--. 1 clamav clamav 0 Aug 21 22:10 freshclam.log-rw-r--r--. 1 clamav clamav 0 Aug 21 22:10 clamd.log[root@LNX17 logs]#
& 4：修改配置文件
#vi /opt/clamav
/etc/clam.conf
&&&&&&&& # Example 注释掉这一行. 第8 行　　
&&&&&&& LogFile /opt/clamav/logs/clamd.log&& 删掉前面的注释目录改为/opt/clamav/logs/clamd.log&&
　　　　 PidFile /opt/clamav/updata/clamd.pid 删掉前面的注释路径改为/opt/clamav/updata/clamd.pid
　　　　 DatabaseDirectory /opt/clamav/updata 同上
#vi /opt/clamav
/etc/clamfreshclam.conf ， 将Example 这一行注释掉。否则在更新反病毒数据库是就有可能出现下面错误
& [root@LNX17 clamav]# /opt/clamav/bin/freshclam
ERROR: Please edit the example config file /opt/clamav/etc/freshclam.conf
ERROR: Can't open/parse the config file /opt/clamav/etc/freshclam.conf
& 5：升级病毒库
[root@LNX17 etc]# /opt/clamav/bin/freshclam
ERROR: Can't change dir to /opt/clamav/share/clamav
出现上面错误，直接创建一个文件夹并授权给clamav用户即可。
[root@LNX17 etc]# mkdir -p /opt/clamav/share/clamav[root@LNX17 etc]# chown clamav:clamav /opt/clamav/share/clamav[root@LNX17 etc]# &[root@LNX17 etc]# /opt/clamav/bin/freshclamClamAV update process started at Fri Aug 21 22:42:18 2015WARNING: Your ClamAV installation is OUTDATED!WARNING: Local version: 0.97.6 Recommended version: 0.98.7DON'T PANIC! Read http://www.clamav.net/support/faqnonblock_connect: connect timing out (30 secs)Can't connect to port 80 of host database.clamav.net (IP: 211.239.150.206)Trying host database.clamav.net (120.29.176.126)...nonblock_recv: recv timing out (30 secs)WARNING: getfile: Download interrupted: Operation now in progress (IP: 120.29.176.126)WARNING: Can't download main.cvd from database.clamav.netTrying again in 5 secs...ClamAV update process started at Fri Aug 21 23:03:32 2015WARNING: Your ClamAV installation is OUTDATED!WARNING: Local version: 0.97.6 Recommended version: 0.98.7DON'T PANIC! Read http://www.clamav.net/support/faqDownloading main.cvd [100%]main.cvd updated (version: 55, sigs: 2424225, f-level: 60, builder: neo)Downloading daily.cvd [100%]daily.cvd updated (version: 20817, sigs: 1537382, f-level: 63, builder: neo)Downloading bytecode.cvd [100%]bytecode.cvd updated (version: 268, sigs: 47, f-level: 63, builder: anvilleg)Database updated (3961654 signatures) from database.clamav.net (IP: 219.94.128.99)
由于ClamAV不是最新版本，所以有告警信息。可以忽略或升级最新版本。病毒库需要定期升级，例如我第二天升级病毒库
[root@LNX17 ~]# /opt/clamav/bin/freshclamClamAV update process started at Mon Aug 24 10:10:25 2015WARNING: Your ClamAV installation is OUTDATED!WARNING: Local version: 0.97.6 Recommended version: 0.98.7DON'T PANIC! Read http://www.clamav.net/support/faqmain.cvd is up to date (version: 55, sigs: 2424225, f-level: 60, builder: neo)Downloading daily-20818.cdiff [100%]Downloading daily-20819.cdiff [100%]Downloading daily-20820.cdiff [100%]Downloading daily-20821.cdiff [100%]Downloading daily-20822.cdiff [100%]Downloading daily-20823.cdiff [100%]Downloading daily-20824.cdiff [100%]Downloading daily-20825.cdiff [100%]Downloading daily-20826.cdiff [100%]Downloading daily-20827.cdiff [100%]Downloading daily-20828.cdiff [100%]Downloading daily-20829.cdiff [100%]daily.cld updated (version: 20829, sigs: 1541624, f-level: 63, builder: neo)bytecode.cvd is up to date (version: 268, sigs: 47, f-level: 63, builder: anvilleg)Database updated (3965896 signatures) from database.clamav.net (IP: 203.178.137.175)
6：ClamAV 使用
可以使用/opt/clamav/bin/clamscan -h查看相应的帮助信息
· 扫描所有用户的主目录就使用 clamscan -r /home
· 扫描您计算机上的所有文件并且显示所有的文件的扫描结果，就使用 clamscan -r /
· 扫描您计算机上的所有文件并且显示有问题的文件的扫描结果，就使用 clamscan -r --bell -i /
执行下面命令扫描根目录下面的所有文件。如下所示：56个文件被感染了。基本上都是Linux.Trojan.Agent和Linux.Backdoor.Gates等。
/opt/clamav/bin/clamscan -r --bell -i
手工删除这些文件。然后重新扫描一下，发现木马已经被清理完成。但是按照网上资料进一步查找发现木马启动程序
[root@LNX17 ~]# cd /etc/init.d/[root@LNX17 init.d]# ls Db*DbSecurityMdt& DbSecuritySpt[root@LNX17 init.d]# ls sel*selinux[root@LNX17 init.d]# more selinux #!/bin/bash/usr/bin/bsd-port/getty[root@LNX17 init.d]# more DbSecuritySpt #!/bin/bash/home/WDPM/Development/WebServer/apache-tomcat-7.0.61/cmys[root@LNX17 init.d]# more DbSecurityMdt #!/bin/bash/root/cmy6[root@LNX17 init.d]# more DbSecurityMdt #!/bin/bash/root/cmy6
[root@LNX17 bin]# ls bsd*&agent.conf cmd.n conf.n getty.lock&[root@LNX17 bin]# cd bsd-port/&[root@GETLNX17 bsd-port]# ls&agent.conf cmd.n conf.n getty.lock&[root@LNX17 bsd-port]# more agent.conf &3341&[root@LNX17 bsd-port]# more getty.lock &1013&[root@LNX17 bsd-port]# cd ..&[root@LNX17 bin]# rm -rf bsd-port
此时在用nethogs监控进程的网络流量，发现已经没有异常进程了，应该算是彻底清除了。
& 关于Linux.Backdoor.Gates，看到一篇介绍资料了相关内容：, 具体内容如下所示：
------------------------------------------------------------------------------------------------------------------------------& 某些用户有一种根深蒂固的观念，就是目前没有能够真正威胁Linux内核操作系统的恶意软件，然而这种观念正在面临越来越多的挑战。与4月相比，2014年5月Doctor Web公司的技术人员侦测到的Linux恶意软件数量创下了新纪录，六月份这些恶意软件名单中又增加了一系列新的Linux木马，这一新木马家族被命名为Linux.BackDoor.Gates。
在这里描述的是恶意软件家族Linux.BackDoor.Gates中的一个木马：Linux.BackDoor.Gates.5，此恶意软件结合了传统后门程序和DDoS攻击木马的功能，用于感染32位Linux版本，根据其特征可以断定，是与Linux.DnsAmp和Linux.DDoS家族木马同出于一个病毒编写者之手。新木马由两个功能模块构成：基本模块是能够执行不法分子所发指令的后门程序，第二个模块在安装过程中保存到硬盘，用于进行DDoS攻击。Linux.BackDoor.Gates.5在运行过程中收集并向不法分子转发受感染电脑的以下信息：
CPU核数（从/proc/cpuinfo读取）。
CPU速度（从/proc/cpuinfo读取）。
CPU使用（从/proc/stat读取）。
Gate'a的 IP（从/proc/net/route读取）。
Gate'a的MAC地址（从/proc/net/arp读取）。
网络接口信息（从/proc/net/dev读取）。
网络设备的MAC地址。
内存（使用/proc/meminfo中的MemTotal参数）。
发送和接收的数据量（从/proc/net/dev读取）。
操作系统名称和版本（通过调用uname命令）。
启动后，Linux.BackDoor.Gates.5会检查其启动文件夹的路径，根据检查得到的结果实现四种行为模式。
如果后门程序的可执行文件的路径与netstat、lsof、ps工具的路径不一致，木马会伪装成守护程序在系统中启动，然后进行初始化，在初始化过程中解压配置文件。配置文件包含木马运行所必须的各种数据，如管理服务器IP地址和端口、后门程序安装参数等。
根据配置文件中的g_iGatsIsFx参数值，木马或主动连接管理服务器，或等待连接：成功安装后，后门程序会检测与其连接的站点的IP地址，之后将站点作为命令服务器。
木马在安装过程中检查文件/tmp/moni.lock，如果该文件不为空，则读取其中的数据（PID进程）并“干掉”该ID进程。然后Linux.BackDoor.Gates.5会检查系统中是否启动了DDoS模块和后门程序自有进程（如果已启动，这些进程同样会被“干掉”）。如果配置文件中设置有专门的标志g_iIsService，木马通过在文件/etc/init.d/中写入命令行#!/bin/bash\n&path_to_backdoor&将自己设为自启动，然后Linux.BackDoor.Gates.5创建下列符号链接：
ln -s /etc/init.d/DbSecuritySpt /etc/rc1.d/S97DbSecuritySpt
ln -s /etc/init.d/DbSecuritySpt /etc/rc2.d/S97DbSecuritySpt
ln -s /etc/init.d/DbSecuritySpt /etc/rc3.d/S97DbSecuritySpt
ln -s /etc/init.d/DbSecuritySpt /etc/rc4.d/S97DbSecuritySpt
如果在配置文件中设置有标志g_bDoBackdoor，木马同样会试图打开/root/.profile文件，检查其进程是否有root权限。然后后门程序将自己复制到/usr/bin/bsd-port/getty中并启动。在安装的最后阶段，Linux.BackDoor.Gates.5在文件夹/usr/bin/再次创建一个副本，命名为配置文件中设置的相应名称，并取代下列工具：
/bin/netstat
/usr/bin/netstat
/usr/bin/lsof
/usr/bin/ps
/usr/sbin/netstat
/usr/sbin/lsof
/usr/sbin/ps
木马以此完成安装，并开始调用基本功能。
执行另外两种算法时木马同样会伪装成守护进程在被感染电脑启动，检查其组件是否通过读取相应的.lock文件启动（如果未启动，则启动组件），但在保存文件和注册自启动时使用不同的名称。
与命令服务器设置连接后，Linux.BackDoor.Gates.5接收来自服务器的配置数据和僵尸电脑需完成的命令。按照不法分子的指令，木马能够实现自动更新，对指定IP地址和端口的远程站点发起或停止DDoS攻击，执行配置数据所包含的命令或通过与指定IP地址的远程站点建立连接来执行其他命令。
此后门程序的主要DDoS攻击目标是中国的服务器，然而不法分子攻击对象也包括其他国家。下图为利用此木马进行的DDoS攻击的地理分布：
& 参考资料：
http://yangrong083.blog.163.com/blog/static//安装了forge为什么启动不起来_百度知道
安装了forge为什么启动不起来
我有更好的答案
点击更新游戏，在弹出窗口的下面有四个选项，为简单整合、官方原版、forge、forge+optifine，点击第三个，就能下载了。
那个……截图在哪里呢？那么我先估计一下您的问题吧，是不是安装Forge API的时候，出现一条英文提示您需要运行一次游戏对应的版本？假如出现这个问题的话，请使用正版启动器（需要正版账号，大约软妹币180左右）启动一下你的版本，然后就可以正常安装Forge API，假如LZ没有正版账号，请使用已经安装好Forge的懒人包，效果完全一样，比如附件，附件就是已经安装了Forge的1.6.2版本懒人包（比较推荐1.6.2版本和1.6.4版本，因为mod最多），而且外赠开服器一个。Minecraft 1.6.2.高清修...大小：190.94M|所需财富值：1已经过百度安全检测,放心下载点击下载下载量:786
为您推荐：
其他类似问题
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。我的世界如何升级forge 我装了几mod以后游戏中弹出了一大堆英文，我查了一下说是forge版本不够新，怎样升级forge或是其他解决办法
不能替换，要重新安装
1）旋律启动器无法生成正版文件，所以和forge安装无缘；
2）forge的安装器，是需要正版账号的，
因为它需要你用正版启动器启动一次1.7.2版本后，生成一...
我的世界forge是你安装mod必须需的工具，所以很多玩家都关心我的世界forge怎么安装这个问题。下面小编就来详细介绍我的世界forge安装方法。
　　如果你...
答: 没有什么危害，关机硬盘停转，再开机只不过再启动而已
答: 想学习这个么？可以找我。国家中级网工，大量的实践经验
答: 更新驱动或者修复一下连接
每家运营商的DNS都不同，而且各省的也不同。你可以问问你的网络提供商，他们会告诉你的。（也可以通过分别访问域名和IP来检查DNS是否正常，访问域名不行，而访问IP可以，则说明DNS设置不对）
另外，如果ADSL-电脑没问题，一般ADSL-路由器也没问题的。而且采用ADSL拨号的话，DNS可以不设置的，拨号成功后会自动取得DNS服务器。
问题可能出在路由器设置上。进去检查一下吧。看看上网方式，上网用户名密码是否正确。
（有个问题要注意一下，有些地方的运营商会限制使用路由器或者限制接入数量，一般是采取绑定网卡MAC地址的方式，如果路由器设置都正常，试试路由器的MAC地址克隆功能，把电脑网卡的MAC复制过去）
嫌麻烦就把你洗衣机的型号或断皮带，拿到维修点去买1个，自己装上就可以了（要有个小扳手把螺丝放松，装上皮带，拉紧再紧固螺丝）。
如何洗衣服？也许有人会说，衣服谁不会洗啊？放到水里，加点洗衣粉洗就成了呗。是啊，说是这样说，可是洗衣服还有不少学问呢。我就说说我的“洗衣经”吧。
说起洗衣服，想想真有不少要说的呢。
首先要分开洗。内衣外衣、深色浅色要分开。个人和个人的衣物也尽量分开洗涤，这样可以防止不同人体间细菌和病菌的相互交叉感染，尤其是宿舍或者朋友的衣服尽量不要放置在一起洗。即使是自己的衣服，内衣和外衣也要分开洗。因为外衣接触外界的污染和尘土较多，而内衣将直接接触皮肤，为避免外界尘螨等对皮肤的不良入侵，内外分开洗涤是有科学道理的。不同颜色的衣物要分开洗涤，可将颜色相近的一同洗涤，浅色的一起洗涤，容易掉色的单独洗涤，避免衣物因脱色而损坏。另外，袜子和其他衣物不要一起洗涤。
其次，使用洗衣粉宜提浸泡一会。洗衣粉功效的发挥不同于肥皂，只有衣物适时浸泡才能发挥最大的洗涤效果。浸泡时间也不宜太长，一般20分钟左右。时间太长，洗涤效果也不好，而且衣物易褶皱。有人洗衣服时把洗衣粉直接撒在衣物上便开始搓揉洗涤，那样不能发挥最好的洗涤效果，对洗衣粉是一种浪费，当然，免浸泡洗衣粉出外。另外，冬季一般宜使用温水浸泡衣物。水温过低，不能有效发挥洗衣粉的洗涤效果，水温太高，会破坏洗衣粉中的活性成分，也不利于洗涤。
再次，衣物及时更换，及时洗涤。衣服要及时更换，相信道理大家应该都很清楚。可是，衣物换下后应该及时清洗，有人却做的不好。好多家庭喜欢将换的衣服积攒起来，每周洗一次，这样很不科学，容易使衣物上积聚的细菌大量繁殖，容易诱发皮疹或皮肤瘙痒症状。为了个人和家人的身体健康，还是勤快一点，把及时换下的衣物及时洗涤，这样，其实也费不了多少时间，也不至于最后要花费半天甚至更长 的时间专门来洗涤大量的衣物要节约的多。另外衣服穿的太久就比较脏，要花很大的力气洗涤才能洗干净，也容易将衣物搓揉变形，而影响美观和穿着效果。
洗衣服是个简单的小家务，也是生活中不可缺少的一件事，学问却很多，也许您的“洗衣心得”比这还要科学，还要多样，欢迎您 的指正~~
怀胎十月一朝分娩，不管用什么方法都很难做到绝对不痛。无痛分娩的无痛也只是相对的，因为分娩时用的麻醉剂用量很小，所以产妇仍然能感觉到宫缩的存在。无痛分娩只是设法让疼痛变得可以忍受一些而已。其实，准妈妈的精神状态若处于紧张、恐惧、焦虑、信心不足之中，也会增加对疼痛的敏感度，因此，准妈妈做好精神上的准备，也是减轻疼痛感的一个好方法。
银行贷款面签所需准备的材料
一般银行贷款所需准备的材料销售人员都会给到，按照销售给到的去准备总是没错的，但是对于一些无房证明已经婚育证明也会根据不同的要求不同，具体还是要问所贷款的银行，有时候销售不走心，还是自己上心一点比较好
银行面签注意事项
其实在面签时不必紧张，只要你的资料核实可以通过就没什么问题了。稍微美化一点关于收入也是没有什么问题的。
迪曲及摇滚乐都属于过分激烈的音乐，长期听这种音乐，会使孕妇的神经系统受到强烈的刺激，并破坏心脏及血管系统的正常功能，使人体中去甲肾上腺素的分泌增多，从而使孕妇子宫平滑肌收缩，造成胎儿血液循环受阻，胎盘供血不足，引起胎儿发育不良，同时这也是造成流产或早产的原因之一。
注销公积金账户并进行提取，3个月内会到职工公积金联名卡所在的银行账户内。携带资料以下4样：
1.住房公积金提取申请表，一式三份； 2.住房公积金提取凭证，一式四联，加盖财务章； 3.劳动关系解除协议原件及复印件；
4.本人身份证及复印件。
有以下方法进食：
　1.取当归5克、黄芪3克、通草5克，每天用这三味中药煮成一碗药汁，在给产妇吃的各种食物中都加上一勺，这样中药的气味不重，又能起到补气血、通乳的作用。同时，三味中药的用量不大，适合身体虚弱的人慢慢调补，而且不会上火。
　　2.把红枣洗净后放入铁锅炒到表皮发黑，放入瓶中待用，每天取炒过的红枣4-6粒，桂圆4-6粒，冲水泡茶经常饮用。内火重的人，可以加枸杞子6-10粒一同饮用。红枣经铁锅炒制后具有暖胃的作用，同时炒制后的红枣易于泡开，能全面利用其营养成分，所以每天饮用此茶能起到补气血、调脾胃、治失眠、止虚汗的作用。
　　3.取鳝鱼1斤、瘦猪肉半斤，放入生姜5-8片、葱2-3根、蒜10瓣，再加入调味品红烧，经常食用可以起到补肾、去肾寒、补血的作用，可以治疗浑身酸痛、腰膝酸软、四肢无力等。
信号不调制展开升空天线太长，无法架设。根据波长与频率的关系，频率越高波长就越高，而天线的长度是四分之一波长，如果低频就必须很长的天线。调制之后频率提升了 增大了天线的长度 抗干扰能力也减少了
洛阳高考美术培训素描的基础知识有哪些？工具的选用取决于画家所想要达到的艺术效果。深入刻画，按照“从整体到局部再到整体再到局部”的规律来塑造物体的形体，塑造时候要注惫物体的体积感、质感。
洛阳美术培训机构的老师还建议学员调整画面的整体色调和虚实关系，突出主体，加强空间感，画面主、次物体之间要有空间的区分，物体附近的衬布要适当的刻画的实些。
我用的就是国产的化妆品，伊肤丽佰，效果很不错。
你只要找个技校甄选考《汽车修理中级证》就可以了！培训和考试费大概要960 元！
餐饮企业为了迎合消费者，打造明档厨房成了饭店的发展趋势，增加与顾客的亲和力、现点现做、顾客喜欢的菜会多点，我当时联系的科美瑞公司，他们做点菜柜这块儿，巴奴火锅里面全是用他的柜子，无论是款式还是质量和售后都是挺好的。
正在加载...
Copyright &
Corporation, All Rights Reserved
确定举报此问题
举报原因(必选)：
广告或垃圾信息
激进时政或意识形态话题
不雅词句或人身攻击
侵犯他人隐私
其它违法和不良信息
报告，这不是个问题
报告原因(必选)：
这不是个问题
这个问题分类似乎错了
这个不是我熟悉的地区
相关问答：123456789101112131415}