相关疑难解决方法(0)

这是关于服务器安全的规范问题- 响应违规事件（黑客攻击）
另请参见：

• 保护 LAMP 服务器的技巧
• 在 Root 妥协后重新安装？

规范版本
我怀疑我的一台或多台服务器受到了黑客、病毒或其他机制的危害：

• 我的第一步是什么？当我到达现场时，我是否应该断开服务器，保留“证据”，还有其他初步考虑吗？
• 如何让服务重新上线？
• 如何防止同样的事情立即再次发生？
• 是否有从这次事件中学习的最佳实践或方法？
• 如果我想制定一个事件响应计划，我该从哪里开始？这应该是我的灾难恢复或业务连续性计划的一部分吗？

原版

2011.01.02 - 我在周日晚上 9.30 上班的路上，因为我们的服务器不知何故遭到入侵，导致对我们的供应商的 DOS攻击。访问 Internet 的服务器已关闭，这意味着我们的 5-600 多个客户站点现已关闭。现在这可能是 FTP 黑客攻击，或者某处代码中的一些弱点。我不确定，直到我到达那里。

我怎样才能快速追踪到这个？如果我不尽快备份服务器，我们将面临大量诉讼。任何帮助表示赞赏。我们正在运行 Open SU​​SE 11.0。

---

2011.01.03 - 感谢大家的帮助。幸运的是，我不是唯一负责这个服务器的人，只是最近的人。我们设法解决了这个问题，尽管它可能不适用于不同情况下的许多其他问题。我会详细说明我们做了什么。

我们从网络上拔掉了服务器。它正在印度尼西亚的另一台服务器上执行（试图执行）拒绝服务攻击，而犯罪方也在那里。

我们首先试图确定这是来自服务器上的哪个位置，考虑到我们服务器上有 500 多个站点，我们预计会在一段时间内兼职。然而，在 SSH 访问仍然存在的情况下，我们运行了一个命令来查找在攻击开始时编辑或创建的所有文件。幸运的是，有问题的文件是在寒假期间创建的，这意味着当时在服务器上创建的其他文件并不多。

然后，我们能够识别ZenCart网站内上传的图像文件夹内的违规文件。

在短暂的休息之后，我们得出结论，由于文件位置的原因，它一定是通过文件上传工具上传的，但该工具没有得到足够的保护。经过一番谷歌搜索，我们发现 ZenCart 管理面板中存在一个安全漏洞，允许上传文件以获取唱片公司的图片。（它从未真正使用过的部分），发布此表单只是上传了任何文件，它没有检查文件的扩展名，甚至没有检查用户是否已登录。

这意味着可以上传任何文件，包括用于攻击的 PHP 文件。我们在受感染站点上使用 ZenCart 保护漏洞，并删除了有问题的文件。

工作完成了，我在凌晨 2 点回家

---

道德 - 始终为 ZenCart 或任何其他 CMS 系统应用安全补丁。当安全更新发布时，全世界都意识到了这个漏洞。- 总是做备份，备份你的备份。- 雇用或安排在这种时候会在那里的人。防止任何人依赖服务器故障上的恐慌帖子。

所以昨天我发现我的服务器是通过 h00lyshit 漏洞获得的。到目前为止，我删除了所有可能与漏洞利用相关的文件。我还删除了 .ssh 中的所有 ssh 密钥~/.ssh/authorized_keys。我将 root 密码更改为 25 个随机字符密码并更改了 mysql 密码。

此外，我认为攻击者来自意大利，由于我只需要从我的国家访问，我阻止了除我自己国家以外的所有 ip 范围，这有帮助吗？

你们有什么好的建议我该怎么做吗？我打算通过 ssh 禁用 root（我应该早点完成，我知道:(）。有没有办法检查他是否可以再次访问我的服务器？

幸运的是，也没有损坏，哦，如果有人感兴趣，我正在运行带有 2.6.26 内核的 D​​ebian Lenny。

PS：是的，我的第一个问题：D

我托管的一个网站最近被黑了。索引页的底部添加了以下代码（就在结束正文标记的上方）：

   <script language="javascript">document.write('<div style="font-family:Tahoma,Arial,Helvetica,sans-serif;font-size:12px;overflow:hidden;color:#FF0000;height:' + (325 * 3 - 974) + 'px;width:' + (18 * 786 - 14147) + 'px;font-weight:bold;margin-top:0px;margin-bottom:0px;">'); </script>

其次是...

大量标签进入垃圾网站...

我们的服务器安装了 suphp，所以我认为这不可能是从另一个帐户发生的。此帐户确实安装了 Wordpress，所以这可能是问题所在。

关于从这里去哪里的任何提示？

谢谢！