質問: debian 8でのddosウイルス感染(unixサービスとして)vm webserver 私は(完全に更新された)wordpressを〜okeanosサービスの仮想マシンの学生チーム向けに2年間維持しています。もちろん-私はそうではありません(このサービスには私の学歴が関連付けられています。)彼らがマシンを一時停止し、メールシステムを燃やした後、私は何が起こったのか調べようとしました。まず、ps -ejを実行して、何が実行されているかをチェックアウトします。root@snf-25181:~# ps -ej 1545 1545 1545 ? 00:00:00 console-kit-dae 1618 1057 1057 ? 00:00:00 gdm-session-wor 1632 1632 1632 ? 00:01:40 rghuoywvrf 1767 1767 1767 ? 00:00:00 sshd 1769 1769 1769 ? 00:00:00 systemd 1770 1769 1769 ? 00:00:00 (sd-pam) 1775 1767 1767 ? 00:00:00 sshd 1776 1776 1776 pts/0 00:00:00 bash 1849 1849 1776 pts/0 00:00:00 su 1870 1870 1776 pts/0 00:00:00 bash 2246 0 0 ? 00:00:00 kworker/0:0 2797 839 839 ? 00:00:00 apache2 3158 3158 3158 ? 00:00:00 bvxktwwnsb 3162 3162 3162 ? 00:00:00 bvxktwwnsb 3163 3163 3163 ? 00:00:00 bvxktwwnsb 3164 3164 3164 ? 00:00:00 bvxktwwnsb 3165 3165 1776 pts/0 00:00:00 ps bvxktwwnsbとrguoywvrfに注意してください次に、サービスを取得するためにps auxを実行しました(これもテールです)。debian-+ 1629 0.0 0.0 178300 4444 ? sl 16:53 0:00 /usr/lib/dconf/dconf-service root 1667 0.0 0.0 30744 4436 ? ss 16:53 0:00 /sbin/wpa_supplicant -u -s -o /run/wpa_supplicant root 1670 0.0 0.1 299588 9884 ? ssl 16:53 0:00 /usr/lib/packagekit/packagekitd root 1674 0.0 0.1 1055004 6168 ? ssl 16:53 0:00 /usr/sbin/console-kit-daemon --no-daemon www-data 1923 0.0 0.1 240964 8112 ? s 16:53 0:00 /usr/sbin/apache2 -k start pankgeo+ 5656 0.0 0.0 27416 3424 ? ss 17:03 0:00 /lib/systemd/systemd --user pankgeo+ 5657 0.0 0.0 143108 2408 ? s 17:03 0:00 (sd-pam) root 5893 0.0 0.1 102420 6428 ? ss 17:04 0:00 sshd: pankgeorg [priv] pankgeo+ 5904 0.1 0.0 102560 4128 ? s 17:04 0:02 sshd: pankgeorg@pts/0 pankgeo+ 5905 0.2 0.1 16816 6388 pts/0 ss+ 17:04 0:04 -bash root 7443 0.0 0.1 102420 6496 ? ss 17:07 0:00 sshd: pankgeorg [priv] pankgeo+ 7448 0.0 0.0 102552 4160 ? s 17:07 0:00 sshd: pankgeorg@pts/1 pankgeo+ 7449 0.0 0.1 16468 6228 pts/1 ss+ 17:07 0:01 -bash root 17351 0.0 0.0 0 0 ? s 17:15 0:00 [kworker/0:0] root 18446 0.0 0.0 0 0 ? s 17:18 0:00 [kworker/0:2] root 18488 0.1 0.0 0 0 ? s 17:18 0:01 [kworker/1:1] root 22680 1.5 0.0 0 0 ? s 17:28 0:08 [kworker/1:0] root 24173 0.0 0.1 102420 6416 ? ss 17:31 0:00 sshd: pankgeorg [priv] pankgeo+ 24181 0.3 0.0 102420 3360 ? s 17:31 0:01 sshd: pankgeorg@pts/2 pankgeo+ 24182 0.0 0.0 16480 6112 pts/2 ss 17:31 0:00 -bash root 25316 2.3 0.0 0 0 ? s 17:33 0:06 [kworker/1:2] root 26777 0.0 0.0 0 0 ? s 17:35 0:00 [kworker/0:1] root 26778 0.0 0.0 0 0 ? s 17:35 0:00 [kworker/0:3] root 27300 0.0 0.0 1424 1040 ? ss 17:38 0:00 cat resolv.conf #note root 27306 0.0 0.0 1424 1036 ? ss 17:38 0:00 gnome-terminal #from root 27307 0.0 0.0 1424 1036 ? ss 17:38 0:00 ifconfig eth0 #here root 27308 0.0 0.0 1424 1040 ? ss 17:38 0:00 id #(ddos?) root 27309 0.0 0.0 1424 1040 ? ss 17:38 0:00 ifconfig pankgeo+ 27315 0.0 0.0 11136 2044 pts/2 r+ 17:38 0:00 ps aux アイテムに注意してください[-4:-1]。次に、chkconfig --listについてオンラインで見つけたので、それを実行すると、次のように表示されましたroot@snf-25181:/home/pankgeorg# chkconfig --list acdnfhruvx 0:off 1:off 2:off 3:off 4:off 5:off 6:off flyymwddwn 0:off 1:off 2:off 3:off 4:off 5:off 6:off 1から5どこでonですが、私はoffに変えました。その後、再起動すると名前が変わりました。次に、located acdnfhruvxを実行すると、次のように表示されます。root@snf-25181:~# locate acdnfhruvx /etc/init.d/acdnfhruvx /etc/rc1.d/s01acdnfhruvx /etc/rc2.d/s01acdnfhruvx /etc/rc3.d/s01acdnfhruvx /etc/rc4.d/s01acdnfhruvx /etc/rc5.d/s01acdnfhruvx そのうちの1つ(すべて同じ)の内容:root @ snf-25181:〜#cat /etc/init.d/acdnfhruvx#!/ bin/shchkconfig: 12345 90 90 description: acdnfhruvx begin init info provides: acdnfhruvx required-start: required-stop: default-start: 1 2 3 4 5 default-stop: short-description: acdnfhruvx end init info case $1 in start) /bin/acdnfhruvx ;; stop) ;; *) /bin/acdnfhruvx ;; esac これは再起動後に見つかったため、/bin/acdnfhruvxはどこにもありませんでした。後で/usr/binでexe(elf形式)を見つけました(あなたの間に勇敢な男がいれば、共有できると思います)originを知らなくてもマシンが実行しているのを見たコマンドの一覧(ps -ejsとps auxesから:root 27755 0.0 0.0 1424 1036 ? ss 17:40 0:00 ifconfig root 27759 0.0 0.0 1424 1036 ? ss 17:40 0:00 who root 27760 0.0 0.0 1424 1040 ? ss 17:40 0:00 echo "find" root 27761 0.0 0.0 1424 1036 ? ss 17:40 0:00 top root 27762 0.0 0.0 1424 1036 ? ss 17:40 0:00 id root 27805 0.0 0.0 1424 1036 ? ss 17:40 0:00 gnome-terminal root 27809 0.0 0.0 1424 1040 ? ss 17:40 0:00 ifconfig root 27810 0.0 0.0 1424 1044 ? ss 17:40 0:00 sh root 27811 0.0 0.0 1424 1040 ? ss 17:40 0:00 sleep 1 root 27822 0.0 0.0 1424 1040 ? ss 17:40 0:00 netstat -an root 27826 0.0 0.0 1424 1036 ? ss 17:40 0:00 top root 27829 0.0 0.0 1424 1040 ? ss 17:40 0:00 bash root 27833 0.0 0.0 1424 1040 ? ss 17:40 0:00 cd /etc root 27834 0.0 0.0 1424 1040 ? ss 17:40 0:00 whoami root 27822 0.0 0.0 1424 1040 ? ss 17:40 0:00 netstat -an root 27826 0.0 0.0 1424 1036 ? ss 17:40 0:00 top root 27829 0.0 0.0 1424 1040 ? ss 17:40 0:00 bash root 27833 0.0 0.0 1424 1040 ? ss 17:40 0:00 cd /etc root 27834 0.0 0.0 1424 1040 ? ss 17:40 0:00 whoami pkillingは無意味です。常にフォークするため、再起動後に新しい(同一の)バージョンの実行可能ファイルが存在するため、/etc/init.d/および/{usr/,}binからのファイルの削除も無意味です。このすべての情報の後で、私は2つの質問をします:私がどのように感染したかを知ることができますか?これを取り除くことはできますか?前もって感謝します!
回答: これは、ddos攻撃を起動し、ポート80で外部サーバーへの数千の接続を生成するため、さまざまな問題を生成する脅威ですが、意図的にそうでないと、ルーター/ファイアウォールがフリーズするまで接続が過負荷になる傾向があります。 ddos攻撃ルール。今、どのようにしてこの脅威を取り除くことができますか? あなたの脅威を見つけ、使用してください centos/redhatps -ely debianps -ej あなたは見るでしょう:3158 3158 3158 ? 00:00:00 bvxktwwnsb 3162 3162 3162 ? 00:00:00 bvxktwwnsb 3163 3163 3163 ? 00:00:00 bvxktwwnsb 3164 3164 3164 ? 00:00:00 bvxktwwnsb 「bvxktwwnsb」がターゲットです 次に、シングルユーザーモードでlinuxサーバーを起動する必要があります。マルチユーザーモードでの変更は無意味です。通常、次のコマンドで切り替えることができます。 テリニットs その後、起動時に実行されるファイルを削除する必要があります centos/redhatでの手順はステップa)cd /etc/init.d ll -tr 最後のコマンドは、ファイルを逆順に並べ替えます。最後に、次のような名前の最後の1つまたは2つのファイルが表示されます。acdnfhruvx kmrkuwbrng gqpjiestmf bvxktwwnsb あなたは内容を見る必要がありますcat /etc/init.d/gqpjiestmf 通常、同じ名前の/ binまたは/ usr/sbinにあるファイルの実行が表示されます両方のファイルを削除する必要があります。ステップb)cd /etc/ ll -tr crontabファイルが最近変更されたかどうかを確認し、その内容を確認し、行を検索します*/3 * * * * root /etc/cron.hourly/udev.sh または*/3 * * * * root /etc/cron.hourly/crontab.sh ファイルを編集してその行を削除する必要があります。udev.shまたはcrontab.shの内容を確認すると、次のようなものが表示されます#!/bin/sh path=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/x11r6/bin cp /lib/libgcc4.so /lib/libgcc4.4.so /lib/libgcc4.4.so 「libgcc4.4.so」ファイルまたはそこに記載されているその他のファイルを削除する必要があります(権限の変更も機能します。たとえば、chmod a-x libgcc.so)サーバーを再起動すると、すべてが正常になります。debian/ubuntuと親戚のために使用します:locate bvxktwwnsb / etcと/ binにあるファイルを削除しますこれが多くの人の役に立つことを願っています。