Tôi thấy điều gì đó lạ khi chạy lệnh w và cần trợ giúp để hiểu nó

Vì vậy, tôi đã kiểm tra xung quanh máy chủ sau một thời gian không nhìn vào nó và chạy w chỉ huy:

 01:10:46 lên 11 ngày, 2:53, 2 người dùng, tải trung bình: 0,00, 0,05, 0,05
NGƯỜI DÙNG TTY TỪ ĐĂNG NHẬP @ IDLE JCPU PCPU GÌ
root tty1 - Thứ ba21 2 ngày 0,74 giây 0,60 giây -bash
root pts/0 86.x.xxx.xx 22:18 0,00s 0,28s 0,00s w

Tôi nên là người duy nhất trên máy chủ và không biết điều này là gì tty1 đã hoặc đang làm như vậy tôi đã chạy ps -aef --forest | grep bash và tìm thấy cái này đặc biệt

gốc 617 1 0 Aug01 tty1 00:00:00 /bin/đăng nhập -p --

Khi tôi chạy một giết -9 617 và kiểm tra w nó đã biến mất:

 01:11:18 lên 11 ngày, 2:54, 1 người dùng, tải trung bình: 0,12, 0,07, 0,06
NGƯỜI DÙNG TTY TỪ ĐĂNG NHẬP @ IDLE JCPU PCPU GÌ
gốc pts/0 86.x.xxx.xx 22:18 5,00 giây 0,29 giây 0,00 giây w

Đó là gì? Tôi đã tìm kiếm những gì trên Google /bin/đăng nhập -p -- nhưng chỉ có thông tin về --. Làm thế nào đã có một root đăng nhập?

Một khả năng đáng lo ngại là ai đó đã đăng nhập với quyền root. Tôi có thể sao chép một cái gì đó rất giống trên máy của mình. Đầu tiên, tôi đã kích hoạt quyền truy cập root ssh bằng cách thêm cái này vào /etc/ssh/sshd_config:

Giấy phépRootĐăng nhập có

Và sau đó khởi động lại sshd dịch vụ:

khởi động lại dịch vụ sudo sshd

Và đăng nhập với quyền root (lưu ý là mình đã kích hoạt tài khoản root trên máy này, bạn đã làm như vậy chưa?):

gốc ssh @ localhost

Bây giờ, khi tôi chạy w, Tôi hiểu rồi:

$ w
 17:06:36 lên 3 phút, 2 người dùng, tải trung bình: 1,98, 0,97, 0,38
NGƯỜI DÙNG TTY ĐĂNG NHẬP@ IDLE JCPU PCPU GÌ
terdon :0 17:04 ?xdm? 29,31 giây 0,01 giây /usr/lib/gdm-x-s
root pts/3 17:06 24.00s 0.00s 0.00s -bash

Ít nhất, bạn không thể loại trừ khả năng kẻ tấn công đã giành được quyền truy cập vào hệ thống của bạn. Giải pháp duy nhất trong trường hợp đó là khôi phục từ bản sao lưu hoặc cài đặt lại từ đầu. Nếu ai đó đã có quyền truy cập root, đơn giản là không có cách nào để chắc chắn rằng họ không làm điều gì xấu.