了解可疑的 SSH 命令

Question

我有一个专用的托管服务器，运行的网站很少。我最近通过终端 cmd 行访问了我的服务器，并注意到最后执行的几个命令看起来很可疑，我不知道该怎么做。以下是运行的命令列表：

iptables -L -nv
apt update
yum install nmap
nmap -Ss -O 89.169.183.2
nmap -sS -O 89.169.183.2
nmap -O 89.169.183.2

任何人都知道这些命令的含义以及我应该在服务器上采取什么类型的操作？我应该卸载'nmap'吗？如果是这样，如何？注意：IP 地址追踪到俄罗斯的某个地方。

Answer 1

该人曾经iptables调查过您的防火墙规则，并yum安装了nmap. 这是以 root 身份完成的。

nmap 从广义上讲，它是一种远程调查另一台机器网络功能状态的工具。

它允许一个人找到开放的端口并扫描远程主机的特征，并可能确定其他人在他们的机器上使用的操作系统（这是-O标志的作用，它需要 root 权限）。

该nmap实用程序本身并不是一个危险的工具，但您应该知道有人（您不认识的人）可以访问您机器上的 root 帐户。

如果您或其他合法管理员没有输入这些命令，那么您的机器已被入侵。

在那种情况下，它不再属于你，你不能信任它。

请参阅ServerFault 上的“我如何处理受感染的服务器？ ”。此外，根据您的身份和位置，您可能有法律义务向当局报告此事。如果您在国家机构（例如大学）工作，则在瑞典就是这种情况。