|
情况是这样：我们在某地托管的一台linux服务器，突然接到机房电话说是我们机器将整个IDC网络搞瘫了。外部机器没法访问IDC。
挂掉电话后：我就开始考虑，托管机器的机房是有硬防的，我本身一台机器怎么会造成这么大影响。于是又联系机房硬防厂家询问状况，最后得到的答复是我托管的
服务器往外发广播消息，将机房硬防会话都沾满了，其它设备就没有可用会话了。
处理： 情况了解后，我第一反应就是先远程ssh 上去看看。结果connect之后令我大失所望，竟然密码也被修改了，无法访问。那时的感觉就是想撞墙。呵呵
慢慢冷静下来后，我想起来机器当时有预留一个超级用户，所以马上再从外网尝试，结果发现互联网接口已经无法访问到这台机器。这怎么办？
突然想起来那时机器有配置内网，事不宜迟马上从内网机器ssh进入，终于命令提示符出现了。
解决：
《1》首先查看last命令，最近登录用户，发现有n多我不知道的ip登录过。抓出了几个发现有俄罗斯的ip，有美国的。至此我确定是被外国佬挂马了。
《2》随即查看ps -ln 查看当前运行进程。这一查看不要紧发现有n多wget 去远程下载可执行程序。这个气呀。
《3》二话没说先废掉它 kill 线程号。
《4》查看网络端口，netstat -atunlp
《5》监控网络包，发现有几个jpg后缀的程序往外发包。根源扎到了.一顿kill
《6》rm jpg 删除这些可执行。
《7》 再监控发现外网可以正常访问了。
《8》访问正常之后，就在想他们是如何攻击我的来。分析了两天也没找出痕迹。log也没有什么记录
《9》最后只能将防火墙更加严密的封杀入局和出局路由。只留必要的5060（电话软交换），369 ssh登录等
《10》观察了一个周再没有出现大批量广播包。
从这次故障分析，觉得有可能有如下几种情况
1.80端口被人利用攻击了
2.由于密码设置过于简单，也有可能被爆破。
3.ssh远程登录端口被利用
针对这几个故障都做出了优化调整，ssh不用默认22,80端口屏蔽，密码高强度。
至此本次故障才终结。
(责任编辑：IT) |