Недавно я позволил хакеру (с которым я встречался однажды и которого не очень хорошо знаю) подключиться к моему компьютеру (полагаю, это был удаленный доступ) — мне пришлось ввести свой IP-адрес на стороннем сайте и нажать кнопку, после чего он получил полный доступ к моему рабочему столу и использовал мой командный терминал в Ubuntu 11.04 для выполнения ряда установок (с которыми мне нужна была помощь), а затем отключился.
Вскоре после этого я начал замечать странные вещи: пасьянсы внезапно открывались, когда я возвращался, оставив их без присмотра, и некоторые другие странные вещи.
А вишенкой на торте стало вот это:
Когда я ввел команду «who» в терминале, вот что я получил:
*'myusername' tty7 2007-04-26 00:14(:0)
*'myusername' баллов/0 2011-11-11 21:45 (:0)
Поэтому меня беспокоит то, что на тот момент у меня даже не было этого ноутбука, а на моей системе уже была установлена Ubuntu.
Думаете, меня взломали? Или это просто дата возникновения среды рабочего стола Natty?
Кто знает. Может, у меня паранойя.
решение1
Если вы считаете, что вас взломали, есть несколько быстрых действий, которые вы можете выполнить, чтобы остановить удаленный доступ:
Запустите
vino-preferencesи посмотрите, активировано ли оно. Если активировано, снимите все галочки и если нужно, то смените пароль.Измените пароль пользователя. Это затруднит доступ по ssh с этим пользователем.
Проверьте, что нет другой учетной записи пользователя. Из терминала вы можете сделать что-то вроде этого:
cat /etc/passwd|grep '/bin/bash'но есть и другие способы GUI и терминала.Отключите SSH-сервер, если он у вас установлен. Введите
sudo apt-get purge openssh-server. Если у вас его нет, ничего не произойдет. Если он у вас есть, он попросит вас удалить его.
До сих пор вы просто блокировали удаленный доступ к службам VNC и SSH.
Теперь проверьте, не запущен ли у вас какой-нибудь скрипт при запуске ПК. Например, что-то, что отправляется кому-то вовне. Это подразумевает необходимость проверки множества мест. Например:
- Проверьте все папки /etc/rc*. Например /etc/rc0.d, /etc/rc1.d....
- Проверьте /etc/init.d из странной службы, которой там не должно быть.
- Проверьте, что cron не запускает что-либо. Пример:
crontab -eпокажет, что cron запускает для вашего пользователя. - Проверьте, что
ufwон включен и не имеет переадресации портов. Также проверьте iptables на это. Если порт переадресован, может показаться, что он пытается получить прямой доступ к ПК. - Любое другое место, которое может использоваться для автоматического запуска чего-либо.
Есть много других способов, но этот — самый быстрый и простой.
решение2
192.168.1.1 — это IP-адрес вашего маршрутизатора, это не сторонний веб-сайт. То, что вы сделали, это открыли доступ к вашей машине по SSH или VNC, перенаправив этот порт. Если вы повторите шаги, но вместо ввода значений удалите значения, вы сможете ограничить доступ. Странно, что он покажет пользователя, вошедшего в систему с 2007 года, после удаления перенаправления порта перезагрузите машину, чтобы завершить все подключенные сеансы.