CentOS中文网

处理CentOS服务器被攻击往外发广播包

CentOS中文网 https://www.centos.net.cn 2015-03-20 00:59 出处:网络 编辑:@iCMS
情况是这样:我们在某地托管的一台linux服务器,突然接到机房电话说是我们机器将整个IDC网络搞瘫了。外部机器没法访问IDC。

情况是这样:我们在某地托管的一台linux服务器,突然接到机房电话说是我们机器将整个IDC网络搞瘫了。外部机器没法访问IDC。

挂掉电话后:我就开始考虑,托管机器的机房是有硬防的,我本身一台机器怎么会造成这么大影响。于是又联系机房硬防厂家询问状况,最后得到的答复是我托管的

服务器往外发广播消息,将机房硬防会话都沾满了,其它设备就没有可用会话了。

处理: 情况了解后,我第一反应就是先远程ssh 上去看看。结果connect之后令我大失所望,竟然密码也被修改了,无法访问。那时的感觉就是想撞墙。呵呵

慢慢冷静下来后,我想起来机器当时有预留一个超级用户,所以马上再从外网尝试,结果发现互联网接口已经无法访问到这台机器。这怎么办?

突然想起来那时机器有配置内网,事不宜迟马上从内网机器ssh进入,终于命令提示符出现了。

解决:

《1》首先查看last命令,最近登录用户,发现有n多我不知道的ip登录过。抓出了几个发现有俄罗斯的ip,有美国的。至此我确定是被外国佬挂马了。

《2》随即查看ps -ln 查看当前运行进程。这一查看不要紧发现有n多wget 去远程下载可执行程序。这个气呀。

《3》二话没说先废掉它 kill 线程号。

《4》查看网络端口,netstat -atunlp

《5》监控网络包,发现有几个jpg后缀的程序往外发包。根源扎到了.一顿kill

《6》rm jpg 删除这些可执行。

《7》 再监控发现外网可以正常访问了。

《8》访问正常之后,就在想他们是如何攻击我的来。分析了两天也没找出痕迹。log也没有什么记录

《9》最后只能将防火墙更加严密的封杀入局和出局路由。只留必要的5060(电话软交换),369 ssh登录等

《10》观察了一个周再没有出现大批量广播包。

从这次故障分析,觉得有可能有如下几种情况

1.80端口被人利用攻击了

2.由于密码设置过于简单,也有可能被爆破。

3.ssh远程登录端口被利用

针对这几个故障都做出了优化调整,ssh不用默认22,80端口屏蔽,密码高强度。

至此本次故障才终结。

0

精彩评论

暂无评论...
验证码 换一张
取 消