1. 침해사고조사 - 로그 분석

# accounts 파일의 history
adduser dev와 adduser ahnlab 명령어 실행 확인

# accounts 파일의 last_R
ahnlab   pts/1        Mon Aug 27 10:14   still logged in   
dev      pts/0        Mon Aug 27 10:11   still logged in

# accounts 파일의 lastlog
dev              pts/0    192.168.184.161  Mon Aug 27 10:11:09 +0900 2012
ahnlab           pts/1    192.168.184.136  Mon Aug 27 10:14:54 +0900 2012

# accounts 파일의 w
dev      pts/0    192.168.184.161  10:11    4:47   0.11s  0.11s -bash
ahnlab   pts/1    192.168.184.136  10:14    0.00s  0.23s  0.07s sshd: ahnlab

# dev가 bash로 로그인한 것 확인 , ahnlab이 sshd로 로그인한 것 확인
# sshd는 보안이 강력하기 때문에 bash로 로그인 한 dev 의심

# weblog 파일의 access.log

81096
cmd=cHdk HTTP/1.1" 200 323 "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2;

81105
cmd=bHMgLWFsICAvdmFyL3d3dy91cGxvYWQvZWRpdG9yL2ltYWdlLw%20%20 # %20은 URL escape code
cmd=bHMgLWFsICAvdmFyL3d3dy91cGxvYWQvZWRpdG9yL2ltYWdlLw== # =으로 변환
ls -al  /var/www/upload/editor/image/
> 폴더 이동

81122
cmd=dGFyIC1jdmYgL3Zhci93d3cvdXBsb2FkL2VkaXRvci9pbWFnZS8xMzMwNjY0ODM4IC92YXIvd3d3Lw%20%20
cmd=dGFyIC1jdmYgL3Zhci93d3cvdXBsb2FkL2VkaXRvci9pbWFnZS8xMzMwNjY0ODM4IC92YXIvd3d3Lw==
tar -cvf /var/www/upload/editor/image/1330664838 /var/www/
> 쉘로 외부 파일 다운로드 , 압축 풀기

81141
cmd=cGhwIC1mIC92YXIvd3d3L3VwbG9hZC9lZGl0b3IvaW1hZ2UvcmV2ZXJzZS5waHA%20
cmd=cGhwIC1mIC92YXIvd3d3L3VwbG9hZC9lZGl0b3IvaW1hZ2UvcmV2ZXJzZS5waHA=
php -f /var/www/upload/editor/image/reverse.php
> 압축 푼 파일 실행

php? != > 필터링
<>? = 일반 유저가 사용하지 못하게 필터링 건다