让运维的同事把端口改了一下，立马连上去，顺便看了一下登录名 ：root，还有不足 8 位的小白密码，心里一凉：被黑了！
Google 了一下 GPG，结果是：GPG 提供的 gpg-agent 提供了对 SSH 协议的支持，这个功能可以大大简化密钥的管理工作。
看起来像是一个很正经的程序嘛，但仔细再看看服务器上的进程后面还跟着一个字母 d，伪装的很好，让人想起来 Windows 上各种看起来像 svchost.exe 的病毒。
查看 pid：23374 进程启动路径和网络状况，也就是来到了图 1 的目录，到此已经找到了黑客留下的二进制可执行文件。
History 看一下，记录果然都被清掉了，没留下任何痕迹。继续命令 more messages：
看到了在半夜 12 点左右，在服务器上装了很多软件，其中有几个软件引起了我的注意，下面详细讲。
接下来安装 Bash，最后是继续下载第二个脚本 bsh.php，并且执行。继续下载并分析 bsh.pbp，内容如下：
下载 Github 上的开源扫描器代码，并安装相关的依赖软件，也就是我上面的 Messages 里看到的记录。
凡光粒网注明来源：光粒网或来源：的作品，包括但不限于本网刊载的所有与光粒网栏目内容相关的文字、图片、图表、视频等网上内容，版权属于光粒网和/或相关权利人所有，任何媒体、网站或个人未经光粒网书面授权不得转载、摘编或利用其它方式使用上述作品；已经书面授权的，应在授权范围内使用，并注明来源：光粒网。违反上述声明者，本网将追究其相关法律责任。
【免责申明】本文仅代表作者个人观点，与光粒网无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。
