首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

服务器入侵的教训

今天一台服务器突然停了,因为是阿里云的服务器,赶紧去阿里云查看,发现原因是阿里云监测到这台服务器不断向其他服务器发起攻击,便把这台服务器封掉了 明显是入侵做为肉鸡了 处理过程 (1)查看登陆的用户...last 查看,的确有不明ip登陆记录 (2)安装阿里云的安骑士 (3)修改ssh端口、登陆密码,限定指定IP登陆 (4)检查开机自启动程序,没有异常 (5)检查定时任务 发现问题,定时任务文件中有下面的内容...可以看到是设置ssh免密码登陆了,漏洞就是redis 检查redis的配置文件,密码很弱,并且没有设置bind,修改,重启redis 删除定时任务文件中的那些内容,重启定时服务 (6)把阿里云中云盾的监控通知项全部选中...(7)配置iptables,严格限制各个端口 总结教训 根本原因就是安全意识薄弱,平时过多关注了公司产品层面,忽略了安全基础 从上面的处理过程可以看到,没有复杂的东西,都是很基本的处理方式 对服务器的安全配置不重视...、阿里云已有的安全设置没有做、阿里云的安全监控通知没有重视 网络安全是很深奥的,但如果提高安全意识,花点心思把安全基础做好,肯定可以避免绝大部分的安全事故 这个教训分享给向我一样系统安全意识不高的服务器管理者

2.3K70

如何发现服务器入侵了,服务器入侵了该如何处理?

作为现代社会的重要基础设施之一,服务器的安全性备受关注。服务器侵入可能导致严重的数据泄露、系统瘫痪等问题,因此及时排查服务器是否侵入,成为了保障信息安全的重要环节。...第三步:漏洞扫描服务器上的软件和应用程序可能存在漏洞,攻击者可以利用这些漏洞进行入侵。因此,定期进行漏洞扫描是排查服务器是否侵入的重要步骤之一。...一旦发现异常活动,入侵检测系统可以及时发出警报,并采取相应的措施进行防护。第五步:定期备份和恢复无论我们采取了多么严密的安全措施,服务器攻击的风险始终存在。...上诉是小德总结出来还未被攻击的情况下,因为做的安全准备,下面小德再给大家介绍一下已经入侵情况下,该做的处理1、服务器保护核实机器入侵后,应当尽快将机器保护起来,避免二次入侵或者当成跳板扩大攻击面。...4、重新安装系统永远不要认为自己能彻底清除攻击源,因为没有人能比黑客更了解攻击程序,在服务器遭到攻击后,最安全也最简单的方法就是重新安装系统,因为大部分攻击程序都会依附在系统文件或者内核中,所以重新安装系统才能彻底清除攻击源

67510
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    文件服务器入侵排查

    一.简介 环境: 资源服务器是Nginx和php组成的服务,用户可以http://192.168.1.100/one.jpg方式获取图片。...只有负载均衡服务器才有外网地址,并且防火墙只允许80端口访问。 起因: 早上10点半,在查看资源服务器文件目录时,发现多了一个pc.php,问了一圈发现没人知道这个文件。...2.查看2台资源服务器的日志,查看负载均衡的也行。可以发现POST提交了脚本,GET去获取脚本,因为资源服务器是安装了php的,访问pc.php,nginx会默认交给php-fpm去执行脚本。...查看/tmp目录也发现很多奇怪的文件。通过删除这些东西和重做系统解决,这次危害较小,没有控制其它机器,因为无法登陆,对方也没有提权到root登陆系统做更大危害,但也要注重安全。

    4K20

    PHP的Git服务器入侵,源代码添加后门

    在最新的软件供应链攻击中,PHP官方Git仓库被黑客攻击,代码库篡改。 ?...PHP Git服务器植入RCE后门 PHP是一种开源的计算机脚本语言,为互联网上超过79%的网站提供动力。因此,事件一经曝光引起了强烈关注。...他们表示,虽然调查还在继续,但为了减少自己的Git基础设施所面对的风险,他们决定关闭git.php.net的服务器。原本只是镜像的GitHub上的存储库,之后将成为正式服务器。...并且,从现在开始,任何修改都要直接推送到GitHub上而不是原先的服务器。 那些想要帮助PHP的人可以申请在GitHub上添加为PHP组织的一部分。...目前,PHP还在检查除了那两个恶意提交外的威胁,并且检查是否有任何代码在恶意提交被发现之前分发到下游。

    1.3K50

    【教你搭建服务器系列】(6)如何判断服务器入侵

    如果你买的是云服务器,比如说腾讯云、阿里云这种,一旦你登录了你的服务器,随后没有设置安全组、密钥、用户、IP,或者没有修改密码、默认端口,那么你的服务器就很容易入侵,一般是挖矿,或者操控当做DDOS...可以说,只要你不设置安全组、防火墙,那么你的服务器基本上就没了,别问我为什么知道,因为我的三台服务器就是这么被黑掉的。...我经历过的三种被黑的情况: 挖矿(目前也是最多的) DDOS(操控你的服务器攻击其他网站) 勒索(删库) 本篇文章来介绍一些常见的服务器入侵排查方法。...1、宕机 这个是最常见的,一般你的服务器入侵了,服务器的进程就被杀死了,万一某一天你的网站打不开了,MySQL、Redis都挂了,基本上就是被黑了。...2、日志 2.1、日志记录 入侵者可能会删除机器的日志信息,可以查看日志信息是否还存在或者是否清空。

    1.2K10

    网站服务器入侵该如何查询攻击日志

    当windows服务器遭到入侵时,在运行过程中经常需要检索和深入分析相应的安全日志。...系统日志信息在windows系统软件运行过程中会不断地记录,依据记录的种类能够分成系统日志、IIS系统日志、ftp客户端系统日志、数据库系统日志、邮件服务系统日志等。...活动记录,WindowsEventLog文件实际上是以一种特殊的数据结构存储内容,包含关于系统软件、安全性、应用软件的记录。...溯源日志排查总结:首先确认下网站入侵后篡改文件的修改时间,然后查看下网站日志文件中对应时间点有无POST的日志URL,然后筛选出来查下此IP所有的日志就能确定是否是攻击者,如果服务器入侵的话可以查询系统日志看下最近时间的登录日志...,以及有无增加默认管理员用户之类的,如果想要更详细的查询是如何入侵的话可以寻求网站安全公司的帮助,推荐SINESAFE,鹰盾安全,绿盟,启明星辰,大树安全等等这些都是很不错的网站安全公司。

    3.7K20

    Linux如何判断自己的服务器是否入侵

    如何判断自己的服务器是否入侵了呢?仅仅靠两只手是不够的,但两只手也能起到一些作用,我们先来看看UNIX系统上一些入侵检测方法,以LINUX和solaris为例。...接下来根据找到入侵者在服务器上的文件目录,一步一步进行追踪。...6、检查系统中的core文件 通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法,典型的RPC攻击就是通过这种方式。...这种方式有一定的成功率,也就是说它并不能100%保证成功入侵系统,而且通常会在服务器相应目录下产生core文件,全局查找系统中的core文件,输入find / -name core –exec ls –...LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件,检查该文件的完整性,可以直接cat /etc/crontab,仔细阅读该文件有没有入侵者利用来做其他的事情。

    2.9K41

    11 个步骤完美排查服务器是否入侵

    随着开源产品的越来越盛行,作为一个Linux运维工程师,能够清晰地鉴别异常机器是否已经入侵了显得至关重要,个人结合自己的工作经历,整理了几种常见的机器被黑情况供参考: 背景信息:以下情况是在CentOS...1.入侵者可能会删除机器的日志信息 可以查看日志信息是否还存在或者是否清空,相关命令示例: 2.入侵者可能创建一个新的存放用户名及密码文件 可以查看/etc/passwd及/etc/shadow文件...命令查看异常进程对应的PID b.在虚拟文件系统目录查找该进程的可执行文件 11.如果确认机器已被入侵,重要文件已被删除,可以尝试找回被删除的文件Note: 1、当进程打开了某个文件时,只要该进程保持打开该文件...3、当系统中的某个文件意外地删除了,只要这个时候系统中还有进程正在访问该文件,那么我们就可以通过lsof从/proc目录下恢复该文件的内容。...假设入侵者将/var/log/secure文件删除掉了,尝试将/var/log/secure文件恢复的方法可以参考如下: a.查看/var/log/secure文件,发现已经没有该文件 b.使用lsof

    2.9K31

    Linux如何判断自己的服务器是否入侵

    如何判断自己的服务器是否入侵了呢?仅仅靠两只手是不够的,但两只手也能起到一些作用,我们先来看看UNIX系统上一些入侵检测方法,以LINUX和solaris为例。...接下来根据找到入侵者在服务器上的文件目录,一步一步进行追踪。...6、检查系统中的core文件 通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法,典型的RPC攻击就是通过这种方式。...这种方式有一定的成功率,也就是说它并不能100%保证成功入侵系统,而且通常会在服务器相应目录下产生core文件,全局查找系统中的core文件,输入find / -name core –exec ls –...LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件,检查该文件的完整性,可以直接cat /etc/crontab,仔细阅读该文件有没有入侵者利用来做其他的事情。

    3.5K70

    服务器入侵,异常进程无法杀掉,随机进程名

    故事情节: 有一天在聚餐中,我有一个朋友和我说他的服务器上有有个异常的进程他一直在占满CPU在运行,我在一顿谦虚之后答应了他,有空登录上他的服务器看一下具体情况。...就是以上三张图,在proc目录中的exe指向的文件已被删除,我看到这里,我好奇这个进程肯定是隐藏掉了。这时,我急中生智跟这位朋友要了root账号密码。...登录服务器用top命令一看,发现一个奇怪的进程在运行,我使用kill命令将其杀后,等了十来分钟后,发现没有启动,这时我和这位朋友说干掉了,他问我是不是kill掉了,我说嗯,他又补充到,这个进程杀掉过段时间会起来的...还干满了CPU,就在这时,我在研究这个进程运行文件的时候发现: 这个进程会连到一个韩国的服务器上,我访问这个IP发现是一个正常的网站,没有异常情况。...同时在查看运行目录的时候,发现如下问题 发现运行文件的命令也没有,同时运行目录也被删掉了。就在这时卡住了脖子,不知如何是好,这时突然想起来一个定时运行的脚本。

    11.2K40

    Linux服务器入侵和删除木马程序过程

    第二次是自习查看每个进程,自习寻找不太正常的进程,发现了一个奇怪的ps进程 5.png 我找了一台正常的机器,查看了一下ps命令的大小,正常的大约是81KB,然后这台机器上面的ps却高达1.2M,命令文件肯定是替换了...与4月相比,2014年5月Doctor Web公司的技术人员侦测到的Linux恶意软件数量创下了新纪录,六月份这些恶意软件名单中又增加了一系列新的Linux木马,这一新木马家族命名为Linux.BackDoor.Gates...配置文件包含木马运行所必须的各种数据,如管理服务器IP地址和端口、后门程序安装参数等。...根据配置文件中的g_iGatsIsFx参数值,木马或主动连接管理服务器,或等待连接:成功安装后,后门程序会检测与其连接的站点的IP地址,之后将站点作为命令服务器。...与命令服务器设置连接后,Linux.BackDoor.Gates.5接收来自服务器的配置数据和僵尸电脑需完成的命令。

    4.4K130

    记一次服务器入侵的调查取证

    到这里,小Z已经大致猜得出自己的公司网站是怎么盯上的了。再看下几个可执行文件: S.exe就是扫描器 ? IDA载入str045 ? ? ? ? ?...看得出Str045.exe就是struts2-045的利用脚本程序,他会去读取S.exe扫描出的ip及端口开放情况的文件,组合do,action等开启多线程去exploit,然后根据攻击的系统版本,去执行相应的脚本...至此,这次入侵的来龙去脉,小Z已经调查清楚了。...由于网站使用了struts框架 版本为2.5.10,存在struts2-045漏洞,黑客通过公网扫描找到网站,进而执行exploit把病毒程序传到服务器里面执行,不停的病毒警告是因为不断有人在公网利用漏洞入侵服务器...0×9 结尾 到此为止,所有的谜团一一解开,小Z结束了这次曲折的入侵取证之路。

    2.9K10

    记一次Linux服务器入侵变矿机

    不一会运维的同事也到了,气喘吁吁的说:我们有台服务器阿里云冻结了,理由:对外恶意发包。我放下酸菜馅的包子,ssh连了一下,拒绝了,问了下默认的22端口被封了。...dev/null 1>/dev/null & done /dev/null 如果说前两个脚本只是在服务器上下载执行了二进制文件...写这个配置,自然也就是利用了redis把缓存内容写入本地文件的漏洞,结果就是用本地的私钥去登陆写入公钥的服务器了,无需密码就可以登陆,也就是我们文章最开始的/root/.ssh/authorized_keys...好了,配置文件准备好了,就开始利用masscan进行全网扫描redis服务器,寻找肉鸡,注意看这6379就是redis服务器的默认端口,如果你的redis的监听端口是公网IP或是0.0.0.0,并且没有密码保护...1,禁用公网IP监听,包括0.0.0.0 2,使用密码限制访问redis 3,使用较低权限帐号运行redis 到此,整个入侵过程基本分析完了,如果大家对样本有兴趣,也可以自行去curl,或是去虚拟机执行上面的脚本

    3K60

    一次 Linux 服务器入侵变矿机记实

    不一会运维的同事也到了,气喘吁吁的说:我们有台服务器阿里云冻结了,理由:对外恶意发包。 我放下酸菜馅的包子,SSH 连了一下,拒绝了,问了下默认的 22 端口被封了。...dev/null 1>/dev/null & done < .lan sleep 60 rm -rf .dat .shard .ranges .lan 2>/dev/null 如果说前两个脚本只是在服务器上下载执行了二进制文件...结果就是用本地的私钥去登陆写入公钥的服务器了,无需密码就可以登陆,也就是我们文章最开始的 /root/.ssh/authorized_keys。 登录之后就开始定期执行计划任务,下载脚本。...好了,配置文件准备好了,就开始利用 masscan 进行全网扫描 Redis 服务器,寻找肉鸡。...Redis 禁用公网 IP 监听,包括 0.0.0.0 使用密码限制访问 Redis 使用较低权限帐号运行 Redis 至此,整个入侵过程基本分析完了,如果大家对样本有兴趣,也可以自行去Curl,或是去虚拟机执行上面的脚本

    1.2K30

    记一次Linux服务器入侵后的检测过程

    lsof –c gejfhzthbp 查看关联文件,发现对外的tcp连接,不知道是不是反向shell... ? ?...执行命令 Whereis gejfhzthbp ls -al gejfhzthbp 查看文件路径。并查看文件创建时间,与入侵时间吻合。 ?...既然被人入侵了,首先还是把防火墙的SSH映射关掉吧,毕竟服务器现在还要用,还是写几条iptables规则吧 iptables -A OUTPUT -o lo -j ACCEPT 允许本机访问本机 iptables...如上图,使用印尼IP爆破成功,而后面服务器内网IP登陆竟然是失败,问了客户,算是明白了怎么回事,他们年底加设备,给服务器临时改了弱密码方便各种第三方技术人员调试,然后估计忘了改回来,结果悲剧了,坏人登陆了不说...继续查看history文件,看人家都干了些什么。 ? ?

    1.6K60
    领券