PTT數位生活區 / Web_Design

Fw: [問題] 網站被當Dos攻擊的跳台

看板Web_Design作者 (太陽拳vs野球拳)時間10年前 (2014/06/01 02:17), 10年前編輯推噓2(2推 0噓 69→)
留言71則, 4人參與, 最新討論串1/1
※ [本文轉錄自 Linux 看板 #1JYOm-Eq ] 作者: dlikeayu (太陽拳vs野球拳) 看板: Linux 標題: [問題] 網站被當Dos攻擊的跳台 時間: Sat May 31 16:00:52 2014 這幾天收到AWS的通知 說我的EC2 Instance 去攻擊別人 說我在05/30中午, 05/31早上這兩天攻擊別人 除了攻擊別人的80port 也有攻擊其它的port 我查了幾個log nginx/access.log nginx/error.log syslog auth.log 因為網站上有架很多網站 然後透過nginx來做虛擬伺服器 目前有以下幾個疑點 1.wordpress 因為先前有傳出xmlrpc的漏洞攻擊 有架wordpress會被當僵屍來攻擊別人 在30號時我查了跟xmlrpc.php有關的請求 log裏只有在19號跟25號有請求過 請求數也才11個 在30號時我從wordpress的設定、function code、跟nginx去阻擋一切有關 xmlrpc請求的服務 但是在31號早上時還是收到警告，說我們還在攻擊別人 2.ssh 因為原本是使用Key pair來登入vps port也沒改 過去在查auth.log也的確有很多的hack想要試探登入 但沒有被登入的紀錄(我也知道真的被登入也早被洗掉了= =) 在30號收到通知後 我去把port改掉 想說要是真的是駭入 又要有key pair又要猜port 應該沒這麼容易吧？ 但31號...嗯 3.被我們攻擊的伺服器ip 我去cat |grep log都沒查到我們有去攻擊aws所說的ip 4.magento 在30號前幾天，我們測試用的PHP套件magento 我用後台做了線上更新 而不是用下載回來的package去覆蓋升級 另外，此套件我們的後台帳密設的還蠻簡單的(因為測試用) 5. cat xxx.log | grep ooo 我查了aws所說的攻擊時間點附近的log 都沒看到什麼異常 6.netstat -ntu | awk xxxxxxx 有下這指令看有什麼異常的傳輸 但是hack發起的時間點又不是一直持續的 所以我下這指令時，server並沒有在攻擊別人 也查不出個所以然... 7.利用Xss來做Dos? 最後有想到是不是這個可能 目前是想到wordpress跟magento 可能更新時被人植入後門 再透過這後門來做Dos攻擊別人 另外magento要是後台被登入的話 hack也可以從後台去更改html code 以上 目前就想到這些 不知道還有哪些地方需要加強防範 或是有什麼指令方法可以更明確的查到我們到底是怎麼去攻擊別人的紀錄 還麻煩請教一下 -- 標題 Re: [問卦] 第一次約伊湄出門該去哪裡用餐?
推
01/18 01:51,
我比較想上任立渝 我倒是還沒玩過氣象主播
01/18 01:51
-- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.230.91.157 ※ 文章網址: http://www.ptt.cc/bbs/Linux/M.1401523262.A.3B4.html ※ dlikeayu:轉錄至看板 MIS 05/31 16:06
→
05/31 18:29, , 1F
關於第2點 其實port不用猜啊 nmap掃下就知道了www
05/31 18:29, 1F
→
05/31 18:31, , 2F
建議是先確定時間點吧 把相關的記錄清查過
05/31 18:31, 2F
→
05/31 18:32, , 3F
這樣才能確定是怎麼攻擊的
05/31 18:32, 3F
AWS只有寄信來說哪個時間點 然後哪個IP哪個Port被我們攻擊 其它像把我們當白痴一樣也沒提細節 實在是很難找...
→
05/31 19:01, , 4F
通常hacker只有植入木馬那次才需要入侵系統,植好木馬你每
05/31 19:01, 4F
→
05/31 19:02, , 5F
次重開機都會幫他跑攻擊服務.若確定被入侵,從源頭重灌有時
05/31 19:02, 5F
→
05/31 19:03, , 6F
是必要的.全系統備份可能都帶有木馬.你目前的狀況是無法確
05/31 19:03, 6F
→
05/31 19:04, , 7F
認(都是別人告知),既然頻率很高,守株查兔定時檢查系統是否
05/31 19:04, 7F
→
05/31 19:05, , 8F
有不明對外站連線(最好就是被告知DOS的攻擊對象)
05/31 19:05, 8F
這前提是真的被ssh登入了，但目前沒查到被例外登入就是 所以只有可能是被XSS或是更新套件時才被植入 主要還是希望有更多細節 或是高高手提供方法讓小弟去找出細節來... ※ 編輯: dlikeayu (1.34.4.90), 05/31/2014 22:52:58
→
05/31 23:03, , 9F
植入木馬不一定走ssh,只要任何一個對外有開port接受連入的
05/31 23:03, 9F
→
05/31 23:05, , 10F
service有漏洞能讓遠端執行指令就是入侵的門戶,這個只能檢
05/31 23:05, 10F
→
05/31 23:06, , 11F
查你用的service有沒有vulnerability沒有更新或修正的
05/31 23:06, 11F
→
05/31 23:07, , 12F
05/31 23:07, 12F
→
05/31 23:12, , 13F
我剛看了一下第一個vulnerability,時間很新,程度是嚴重等
05/31 23:12, 13F
→
05/31 23:13, , 14F
級,又是惡名昭彰的buffer over/underflow 來做到入侵者設
05/31 23:13, 14F
→
05/31 23:14, , 15F
計的code execution,這是很可能的入侵管道,如果你沒修這個
05/31 23:14, 15F
→
05/31 23:15, , 16F
新出沒多久的漏洞,那就趕快修一下,其它的major一定要修,後
05/31 23:15, 16F
→
05/31 23:15, , 17F
面的如果advisory裏有提到code execution的也都要修.然後
05/31 23:15, 17F
→
05/31 23:16, , 18F
每個有對外服務的service (如ssh)或plug-in(如php等)都要
05/31 23:16, 18F
→
05/31 23:16, , 19F
類似處理
05/31 23:16, 19F
php因為我是用nginx再走unix socket 所以真要進來也只有port 80了 ssh authorized_keys也確認只有我的pub key 使用者沒開密碼
→
05/31 23:17, , 20F
另外就是最近很紅的heartbleed,看看你的版本有沒有中標?
05/31 23:17, 20F
→
05/31 23:20, , 21F
從上述漏洞入侵的,log一定沒東西,log就像大門的攝影機,但
05/31 23:20, 21F
→
05/31 23:20, , 22F
小偷是挖密道進來的
05/31 23:20, 22F
→
05/31 23:31, , 23F
忘了講如果你的系統沒有隨時接收distribution的安全性更新
05/31 23:31, 23F
→
05/31 23:31, , 24F
(一般production server不會隨便更新,所以很可能沒有),更
05/31 23:31, 24F
→
05/31 23:31, , 25F
要優先考慮各項service的vulnerabilities
05/31 23:31, 25F
嗯，這台server incoming只有開 ssh跟80 nginx 我的版本是1.6.0 目前看來是沒在名單內 heartbleed的話，剛看是沒開啟ssl服務 這下又頭痛了，不過還是感謝你幫忙過瀘掉一些可能性:D 這邊偷自介一下 因為小弟只是個程式設計師 system engineer的知識有限 還請多多指教... ※ 編輯: dlikeayu (1.34.4.90), 06/01/2014 02:13:43 ※ 發信站: 批踢踢實業坊(ptt.cc) ※ 轉錄者: dlikeayu (1.34.4.90), 06/01/2014 02:17:45
推
06/01 03:12, , 26F
....慢著 沒開啟ssl服務?
06/01 03:12, 26F
嗯 的確沒放ssl 這個主機上放的都是demo用的網站跟showcase 這邊順便問一下經驗 一般公司企業會在這種類型的主機掛ssl嗎？
→
06/01 05:51, , 27F
iptables -I OUTPUT 1 -s the_damn_Ip -j DROP
06/01 05:51, 27F
→
06/01 05:53, , 28F
直接ban掉output ip -.- 之後再慢慢找
06/01 05:53, 28F
推
06/01 14:58, , 29F
換掉重架
06/01 14:58, 29F
→
06/01 15:00, , 30F
以後ssl存取的時候 限定ip區段
06/01 15:00, 30F
→
06/01 15:00, , 31F
ssh
06/01 15:00, 31F
→
06/01 15:00, , 32F
區段可以到twnic查
06/01 15:00, 32F
還有 24 則推文
還有 1 段內文
→
06/02 01:56, , 57F
限定常用的ip區段有很大的問題嗎..可沒叫你把全台灣的IP列進
06/02 01:56, 57F
→
06/02 01:56, , 58F
換Port能擋，大部分是因為攻擊腳本或Scanner的設定問題
06/02 01:56, 58F
→
06/02 01:56, , 59F
如果網站真的被針對，Key Pair or Firewall Access 控制很重
06/02 01:56, 59F
→
06/02 01:56, , 60F
要
06/02 01:56, 60F
→
06/02 01:57, , 61F
所以個人推崇 Firewall 一定優先設定，而且重要登入管道
06/02 01:57, 61F
→
06/02 01:58, , 62F
要用白名單的方式限制起來，就包含你nginx也可以用deny擋
06/02 01:58, 62F
→
06/02 01:58, , 63F
重要的後台或程式
06/02 01:58, 63F
→
06/02 01:58, , 64F
Key Pair 固然好，但是 Firewall 也很重要
06/02 01:58, 64F
→
06/02 01:59, , 65F
現在aws的ec2也通常由security group 管理，能先設定好
06/02 01:59, 65F
→
06/02 01:59, , 66F
你可以防止一些*nix程式的0day
06/02 01:59, 66F
→
06/02 02:00, , 67F
openssl、mysql相關漏洞就是一個很好的例子
06/02 02:00, 67F
→
06/02 02:00, , 68F
從來都沒有人料想過authentication機制有天會被人家打爆
06/02 02:00, 68F
→
06/02 02:02, , 69F
要我擋IP Range的話我會乾脆找一個固定IP做入口就是了
06/02 02:02, 69F
→
06/02 02:03, , 70F
至於擋IP... 以原PO的種花來說...
06/02 02:03, 70F
→
06/02 02:03, , 71F
我可建議
06/02 02:03, 71F
→
06/02 02:04, , 72F
XXX.YYY 為一個區段，最多三組，再配合一個手機用的區段
06/02 02:04, 72F
→
06/02 02:04, , 73F
現在可能拿到的Range也不算少就是(倒...
06/02 02:04, 73F
→
06/02 02:04, , 74F
或你也可以配固定IP＋手機區段
06/02 02:04, 74F
→
06/02 02:04, , 75F
向中華電信，你能拿到的最多區段只有三組
06/02 02:04, 75F
→
06/02 02:04, , 76F
那些區段也是地方性的
06/02 02:04, 76F
→
06/02 02:05, , 77F
手機區段則是..因為如果你不是用ec2的話，臨時要處理
06/02 02:05, 77F
→
06/02 02:05, , 78F
你又無法用網路上的單人模式進入主機，那麼就糟糕了
06/02 02:05, 78F
→
06/02 02:05, , 79F
所以我會把用手機上網的IP常用區段記下來，免得人在外面被ban
06/02 02:05, 79F
→
06/02 02:06, , 80F
另外這類的封鎖要用drop 這樣一來攻擊腳本自己就先慢下來
06/02 02:06, 80F
→
06/02 02:06, , 81F
有很多的自動攻擊程式沒有所謂的timeout概念，
06/02 02:06, 81F
→
06/02 02:07, , 82F
個人還蠻堅持用手機區段的，因為固定ＩＰ真的機器有事動不到
06/02 02:07, 82F
→
06/02 02:07, , 83F
QQ
06/02 02:07, 83F
→
06/02 02:14, , 84F
種花開頭要看位置 有些人在的地方開頭就真的跳很大(汗..
06/02 02:14, 84F
→
06/02 02:15, , 85F
這挖不母齋~ 跳太大沒辦法，就算你是固定IP有天也會被強迫換
06/02 02:15, 85F
→
06/02 02:15, , 86F
中華電信已經強迫換過固定IP -___-
06/02 02:15, 86F
→
06/02 02:16, , 87F
如果真的沒辦法..把Port換到上萬的數字就ok惹
06/02 02:16, 87F
→
06/02 02:16, , 88F
所以我有台最小DO就專門拿來放固IP當絕對可用的入口XD
06/02 02:16, 88F
→
06/02 02:17, , 89F
do的話 新加坡的機子要被換掉ip機會不大
06/02 02:17, 89F
→
06/02 02:18, , 90F
ny1~ny2我不曉得
06/02 02:18, 90F
→
06/02 02:18, , 91F
然後do上一堆scanner = =
06/02 02:18, 91F
→
06/02 02:18, , 92F
之前遇過XD
06/02 02:18, 92F
→
06/02 02:19, , 93F
程式都從github公開的攻擊器拿的
06/02 02:19, 93F
→
06/02 02:20, , 94F
便宜啊(笑
06/02 02:20, 94F
→
06/02 02:20, , 95F
應該是酷碰XD.. freeeeeeee 10$ 20$ 50$
06/02 02:20, 95F
→
06/02 02:27, , 96F
所以說便宜啊 0成本XD
06/02 02:27, 96F
‣ 更多 dlikeayu 的文章
文章代碼(AID): #1JYXpAaD (Web_Design)
Web_Design 近期熱門文章
更多 近期熱門文章 >>
PTT數位生活區 即時熱門文章
更多 即時熱門文章 >>
‣ 更多 dlikeayu 的文章
文章代碼(AID): #1JYXpAaD (Web_Design)