在 linux 上被黑客入侵的真实经历？

Question

我想听听真实的故事，你的 linux 机器/服务器是如何被黑客入侵的，以及如何避免再次陷入同一个坑。

Answer 1

大约 2 年前，我的一台位于同一地点的 Web 服务器被黑了。我在我正在运行的 php 脚本中找到了漏洞，这是一个旧版本的 PHPBB。黑客基本上是利用一个漏洞在我的服务器上放置一个脚本并执行它，这让他可以完全访问服务器。

幸运的是，他没有造成任何损害，他只是安装了一个新网站，以便在我的盒子外提供服务。

有一天，我正在查看日志，因为我看到我的带宽使用量猛增，我发现他在我的服务器上安装了另一个网站的欺骗副本。从本质上讲，这是手表网上商店的一个简单拼写错误，我相信他在卖手表，收钱，而且显然从来没有给任何人寄过东西。

在我发现这一点后，我复制了他所做的一切——日志、脚本、整个网站，并将其存档并将其发送给我的托管服务提供商。

我清理了他的踪迹，并开始保护我的服务器。

结果，我学到了很多关于 Linux 安全性的知识，并做了几件事：

• 加强了我的 SSH 安全性，包括在非标准端口上运行它。
• chroot apache
• 安装并配置了 apache mod_security（这是惊人的）
• 开始运行一些日志监控/入侵检测脚本
• 杀死在我没有主动使用的端口上运行的任何进程

结果，从那以后我就没有被黑客攻击过，每当有人尝试时，我都会收到警报。

如果您的服务器是标准的网络/电子邮件服务器，那么一些最简单的黑客攻击方式就是通过常见的脚本漏洞。如果您正在运行电子邮件服务器，您还应该采取额外措施以确保您不是任何类型的开放中继，垃圾邮件发送者会找到您，并且突然所有来自您服务器的电子邮件都会被列入黑名单。

Answer 2

许多年前，我负责客户系统。该系统没有被修补，并且以某种方式从我需要维护的系统列表中删除。

Bind 中的安全漏洞允许某人进入系统并获取 root 权限。他们使用该系统发送垃圾邮件，并设置了一个网络服务器。虽然bind安装在系统上，但它实际上并没有用于任何用途

入侵的结果

• 拉出高清以防警察想看
• 在新硬盘上重新安装操作系统
• 从较旧的备份恢复数据
• 删除不需要的包（绑定），这是攻击的媒介。
• 应用安全补丁，并设置一个系统以在需要安装补丁时通知系统所有者
• 为我们的所有系统设置更好的活动日志记录
• 调整了我们的备份选择，因为有几件事被忽略了。