欢迎您加入19站目录库!网站推广流程:注册会员 -> 提交网站 -> 快速审核 -> 带来无限流量和外链。( 点入和点出一次可获排名第一位!
数据统计:143个主题分类,1585个优秀站点,4个站点正在排队审核,224篇站长资讯
网站快速审核:免费请联系: 点击这里给我发消息
当前位置:19站目录库 » 站长资讯 » 综合资讯 » 文章详细 订阅RssFeed

记一次Linux服务器被入侵后的检测过程

来源:本站原创 浏览:116次 时间:2021-06-11


故事是这样的,大年初一,客户反应他们服务器无法访问,查看路由,发现某oracle+tomcat服务器UDP流量超大,把带宽占完了,过年嘛,客户那边先找了当地的技术人员弄了几天没搞定,然后没办法大年初三的找我们弄…顾客是上帝!

其实吧以前也遇到过这类攻击,当时某IDC都被打瘫了,只不过马儿不在我们的设备上,所以没过多关注…

0×01 查找木马

首先SSH登陆,top查看进程,发现奇怪名字的命令gejfhzthbp,一看就感觉有问题。

lsof –c gejfhzthbp

查看关联文件,发现对外的tcp连接,不知道是不是反向shell…

执行命令

Whereis  gejfhzthbp       
ls -al  gejfhzthbp

查看文件路径。并查看文件创建时间,与入侵时间吻合。

顺便把文件拷贝下来放到kali虚拟机试了下威力,几秒钟的结果如下…

之前还以为是外国人搞的,这应该能证明是国人搞的了…

0×02 恢复业务

首先kill进程,结果肯定没那么简单,进程换个名字又出来了

中间尝试过很多过程,ps –ef |grep 发现父进程每次不一样,关联进程有时是sshd,有时是pwd,ls,中间装了个VNC连接,然后关闭ssh服务,同样无效,而且kill几次之后发现父进程变成了1 ,水平有限,生产服务器,还是保守治疗,以业务为主吧…

既然被人入侵了,首先还是把防火墙的SSH映射关掉吧,毕竟服务器现在还要用,还是写几条iptables规则吧

iptables -A OUTPUT -o lo -j ACCEPT

允许本机访问本机

iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

允许主动访问本服务器的请求

iptables -A OUTPUT –p tcp –d 192.168.1.235 -jACCEPT

允许服务器主动访问的IP白名单

iptables -A DROP

拒绝对外访问

到此,业务恢复正常。

0×03 查找原因

其实原因一开始我就意识到了是SSH的问题,只是先要帮人把业务恢复了再说,web端口方面就只有tomcat的,web漏洞都查过了,什么struts2,manager页面,还有一些常规web漏洞均不会存在,除非有0day…. Oracle也不外连,只有个SSH

基于这一点,我直接查root账户ssh登陆日志,翻啊翻,终于….

cd /var/log     less secure

如上图,使用印尼IP爆破成功,而后面服务器内网IP登陆竟然是失败,问了客户,算是明白了怎么回事,他们年底加设备,给服务器临时改了弱密码方便各种第三方技术人员调试,然后估计忘了改回来,结果悲剧了,被坏人登陆了不说,root密码还被改,自己都登不上…不知道他们老板知不知道…

继续查看history文件,看人家都干了些什么。

坏人的操作过程基本就在这里了,他执行了好多脚本,谁知道他干了多少事,还是建议客户重装系统吧…

0×04 后记

主要还是自己经验尚浅,linux运维玩的不熟,不知道怎么把马儿彻底赶出去…大牛勿喷。

【本篇文章由“19站目录库http://www.19zh.com”编辑收录】

转载请注明-原文链接:记一次Linux服务器被入侵后的检测过程

推荐站点

  • 唯品电影_vip800.cn|免费好看的电影网站唯品电影_vip800.cn|免费好看的电影网站

    唯品电影网(www.vip800.cn)为您提供最新好看的电影、最新电视剧、影视动漫、热播综艺节目等,免费在线观看高清电影、动作片、喜剧片、爱情片、恐怖片、搞笑电影等视频内容,更多高清电影免费在线观看尽在电影网。

    www.vip800.cn
  • VIP免费电影网_vip.19zh.com|VIP电影电视剧免费在线观看VIP免费电影网_vip.19zh.com|VIP电影电视剧免费在线观看

    VIP免费电影网为您免费提供最新好看的电影、热播电视剧、新番动漫、热门综艺节目等,涵盖爱情片、动作片、喜剧片、悬疑片、记录片、战争片、恐怖片等电影及电视剧内容,以及海量最新电影图文影视资讯,看电影就上VIP免费电影网vip.19zh.com。

    vip.19zh.com
  • 幻剑书盟幻剑书盟

    幻剑书盟是中国首家永久免费原创文学门户,全站小说任意章节均可免费阅读!包括奇幻玄幻、武侠仙侠、女生言情、都市游戏、悬疑科幻、军事历史等。

    hjsm.tom.com
  • 央视网_世界就在眼前央视网_世界就在眼前

    央视网(www.cctv.com)由中央广播电视总台主办,是以视频为特色的中央重点新闻网站,是央视的融合传播平台,是拥有全牌照业务资质的大型互联网文化企业。秉承“融合创新、一体发展”的理念,以新闻为龙头,以视频为重点,以用户为中心,建成“一网一端多平台多渠道”融媒体传播体系。

    www.cctv.cn
  • 爱奇艺爱奇艺

    爱奇艺(iQIYI.COM)是拥有海量、优质、高清的网络视频的大型视频网站,专业的网络视频播放平台。爱奇艺影视内容丰富多元,涵盖电影、电视剧、动漫、综艺、生活、音乐、搞笑、财经、军事、体育、片花、资讯、微电影、儿童、母婴、教育、科技、时尚、原创、公益、游戏、旅游、拍客、汽车、纪录片、爱奇艺自制剧等剧目。视频播放清晰流畅,操作界面简单友好,真正为用户带来“悦享品质”的在线观看体验。

    www.iqiyi.com
  • 优酷视频优酷视频

    视频服务平台,提供视频播放,视频发布,视频搜索,视频分享

    www.youku.com
Powered by 19站目录F2.02021版 官方网站:19站目录库
Processed in 0.024476 second(s), 21 Queries, Gzip Enabled