所有從非官方網站下載的putty和WinSCP都有後門

putty和winscp是免費開源軟體，怎麼可能在baidu上打推廣廣告，明顯帶後門啊，如果你不知道putty和winscp的功能，那麼我告訴你，這是最常用的用於連接linux主機的軟體，putty是命令行介面，winscp是上傳下載檔，帶有後門的putty和winscp可以攔截你輸入的所有伺服器密碼。如果你們公司做網站，而且伺服器是Linux的話，那麼你的公司的技術人員很有可能就中招了，馬上查一下吧

檢查及清理方式

　　檢查 /var/log 是否被刪除 # /usr/bin/stat /var/log
　　如果被刪除了，說明中招了
　　查看 /var/log 檔夾內容 # ls -al /var/log
　　如果文件很少，說明中招了
　　監控名稱為 fsyslog,osysllog 的進程 # /usr/bin/watch -n 1 /bin/ps -AFZ f \| /bin/grep syslog
　　如果有名稱為fsyslog或osyslog的進程，說明中招了，注意不要和正常的系統日誌進程混淆
　　檢查 /etc/init.d/sshd 的檔頭是否被篡改過 # /usr/bin/head /etc/init.d/sshd
　　檢查 /etc/init.d/sendmail 的檔頭是否被篡改過 # /usr/bin/head /etc/init.d/sendmail
　　檢查是否有對外鏈結的 82 埠 # /bin/netstat -anp | /bin/grep ':82'
　　如果有，而你又沒設置過，說明已經中招了
　　檢查是否有鏈結到 98.126.55.226 的鏈結 # /bin/netstat -anp | /bin/grep '98\.' --color
　　如果有，說明已經中招了
　　檢查 /etc 檔夾下的隱藏檔 .fsyslog .osyslog，檢查 /lib 檔夾下的隱藏檔 .fsyslog .osyslog
　　/usr/bin/find /etc -name '.*' -printf '%a %c %t %M %g:%u %p\n' | /bin/grep 2012 --color
　　/usr/bin/find /lib -name '.*' -printf '%a %c %t %M %g:%u %p\n' | /bin/grep 2012 --color
　　/usr/bin/find /etc -name 'syslog' -printf '%a %c %t %M %g:%u %p\n' | /bin/grep 2012 --color
　　/usr/bin/find /lib -name 'syslog' -printf '%a %c %t %M %g:%u %p\n' | /bin/grep 2012 --color
　　如果有近期修改過的名稱包含fsyslog或osyslog的檔，說明已經中招了

恢復系統日誌

　　查看系統日誌檔夾 # ls -al /var/log
　　創建系統日誌檔夾 # /bin/mkdir /var/log
　　如果被刪除的話需要創建
　　查看系統日誌服務 # /usr/bin/find /etc/init.d/ -name '*log*'
　　需要區分出你的伺服器所使用的日誌服務
　　關閉系統日誌服務 # /sbin/service syslog stop
　　你的伺服器的日誌服務的名稱可能是另外一個名字
　　啟動系統日誌服務 # /sbin/service syslog start
　　你的伺服器的日誌服務的名稱可能是另外一個名字
　　創建錯誤登錄日誌檔 # /bin/touch /var/log/btmp
　　設置錯誤登錄日誌檔用戶組 # /bin/chown root:utmp /var/log/btmp
　　設置錯誤登錄日誌檔許可權 # /bin/chmod 600 /var/log/btmp
　　創建登錄日誌檔 # /bin/touch /var/log/wtmp
　　設置登錄日誌檔用戶組 # /bin/chown root:utmp /var/log/wtmp
　　設置登錄日誌檔許可權 # /bin/chmod 664 /var/log/wtmp

恢復SELinux（安全增強Linux）設置

　　查看 SELinux 狀態 # /usr/sbin/sestatus -v
　　檢查 /var/log 檔夾的安全上下文 # /sbin/restorecon -rn -vv /var/log
　　恢復 /var/log 檔夾的安全上下文 # /sbin/restorecon -r -vv /var/log
　　檢查 /etc 檔夾的安全上下文 # /sbin/restorecon -rn -vv /etc 2>/dev/null
　　恢復 /etc 檔夾的安全上下文 # /sbin/restorecon -r -vv /etc 2>/dev/null
　　檢查 /lib 檔夾的安全上下文 # /sbin/restorecon -rn -vv /lib 2>/dev/null

作者 胡爭輝 引用自《遊俠安全網》