作者dlikeayu (太阳拳vs野球拳)
看板Web_Design
标题Fw: [问题] 网站被当Dos攻击的跳台
时间Sun Jun 1 02:17:45 2014
※ [本文转录自 Linux 看板 #1JYOm-Eq ]
作者: dlikeayu (太阳拳vs野球拳) 看板: Linux
标题: [问题] 网站被当Dos攻击的跳台
时间: Sat May 31 16:00:52 2014
这几天收到AWS的通知
说我的EC2 Instance 去攻击别人
说我在05/30中午, 05/31早上这两天攻击别人
除了攻击别人的80port 也有攻击其它的port
我查了几个log
nginx/access.log
nginx/error.log
syslog
auth.log
因为网站上有架很多网站
然後透过nginx来做虚拟伺服器
目前有以下几个疑点
1.wordpress
因为先前有传出xmlrpc的漏洞攻击
有架wordpress会被当僵屍来攻击别人
在30号时我查了跟xmlrpc.php有关的请求
log里只有在19号跟25号有请求过
请求数也才11个
在30号时我从wordpress的设定、function code、跟nginx去阻挡一切有关
xmlrpc请求的服务
但是在31号早上时还是收到警告，说我们还在攻击别人
2.ssh
因为原本是使用Key pair来登入vps
port也没改
过去在查auth.log也的确有很多的hack想要试探登入
但没有被登入的纪录(我也知道真的被登入也早被洗掉了= =)
在30号收到通知後
我去把port改掉
想说要是真的是骇入
又要有key pair又要猜port
应该没这麽容易吧？
但31号...嗯
3.被我们攻击的伺服器ip
我去cat |grep log都没查到我们有去攻击aws所说的ip
4.magento
在30号前几天，我们测试用的PHP套件magento
我用後台做了线上更新
而不是用下载回来的package去覆盖升级
另外，此套件我们的後台帐密设的还蛮简单的(因为测试用)
5. cat xxx.log | grep ooo
我查了aws所说的攻击时间点附近的log
都没看到什麽异常
6.netstat -ntu | awk xxxxxxx
有下这指令看有什麽异常的传输
但是hack发起的时间点又不是一直持续的
所以我下这指令时，server并没有在攻击别人
也查不出个所以然...
7.利用Xss来做Dos?
最後有想到是不是这个可能
目前是想到wordpress跟magento
可能更新时被人植入後门
再透过这後门来做Dos攻击别人
另外magento要是後台被登入的话
hack也可以从後台去更改html code
以上
目前就想到这些
不知道还有哪些地方需要加强防范
或是有什麽指令方法可以更明确的查到我们到底是怎麽去攻击别人的纪录
还麻烦请教一下
--
标题 Re: [问卦] 第一次约伊湄出门该去哪里用餐?
1F：推 xyz4594:我比较想上任立渝 我倒是还没玩过气象主播01/18 01:51
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 61.230.91.157
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/Linux/M.1401523262.A.3B4.html
※ dlikeayu:转录至看板 MIS 05/31 16:06
2F：→ dododavid006:关於第2点 其实port不用猜啊 nmap扫下就知道了www 05/31 18:29
3F：→ dododavid006:建议是先确定时间点吧 把相关的记录清查过 05/31 18:31
4F：→ dododavid006:这样才能确定是怎麽攻击的 05/31 18:32
AWS只有寄信来说哪个时间点
然後哪个IP哪个Port被我们攻击
其它像把我们当白痴一样也没提细节
实在是很难找...
5F：→ bitlife:通常hacker只有植入木马那次才需要入侵系统,植好木马你每 05/31 19:01
6F：→ bitlife:次重开机都会帮他跑攻击服务.若确定被入侵,从源头重灌有时 05/31 19:02
7F：→ bitlife:是必要的.全系统备份可能都带有木马.你目前的状况是无法确 05/31 19:03
8F：→ bitlife:认(都是别人告知),既然频率很高,守株查兔定时检查系统是否 05/31 19:04
9F：→ bitlife:有不明对外站连线(最好就是被告知DOS的攻击对象) 05/31 19:05
这前提是真的被ssh登入了，但目前没查到被例外登入就是
所以只有可能是被XSS或是更新套件时才被植入
主要还是希望有更多细节
或是高高手提供方法让小弟去找出细节来...
※ 编辑: dlikeayu (1.34.4.90), 05/31/2014 22:52:58
10F：→ bitlife:植入木马不一定走ssh,只要任何一个对外有开port接受连入的 05/31 23:03
11F：→ bitlife:service有漏洞能让远端执行指令就是入侵的门户,这个只能检 05/31 23:05
12F：→ bitlife:查你用的service有没有vulnerability没有更新或修正的 05/31 23:06
14F：→ bitlife:我刚看了一下第一个vulnerability,时间很新,程度是严重等 05/31 23:12
15F：→ bitlife:级,又是恶名昭彰的buffer over/underflow 来做到入侵者设 05/31 23:13
16F：→ bitlife:计的code execution,这是很可能的入侵管道,如果你没修这个 05/31 23:14
17F：→ bitlife:新出没多久的漏洞,那就赶快修一下,其它的major一定要修,後 05/31 23:15
18F：→ bitlife:面的如果advisory里有提到code execution的也都要修.然後 05/31 23:15
19F：→ bitlife:每个有对外服务的service (如ssh)或plug-in(如php等)都要 05/31 23:16
20F：→ bitlife:类似处理 05/31 23:16
php因为我是用nginx再走unix socket
所以真要进来也只有port 80了
ssh authorized_keys也确认只有我的pub key
使用者没开密码
21F：→ bitlife:另外就是最近很红的heartbleed,看看你的版本有没有中标? 05/31 23:17
22F：→ bitlife:从上述漏洞入侵的,log一定没东西,log就像大门的摄影机,但 05/31 23:20
23F：→ bitlife:小偷是挖密道进来的 05/31 23:20
24F：→ bitlife:忘了讲如果你的系统没有随时接收distribution的安全性更新 05/31 23:31
25F：→ bitlife:(一般production server不会随便更新,所以很可能没有),更 05/31 23:31
26F：→ bitlife:要优先考虑各项service的vulnerabilities 05/31 23:31
嗯，这台server incoming只有开 ssh跟80
nginx 我的版本是1.6.0
目前看来是没在名单内
heartbleed的话，刚看是没开启ssl服务
这下又头痛了，不过还是感谢你帮忙过泸掉一些可能性:D
这边偷自介一下
因为小弟只是个程式设计师
system engineer的知识有限
还请多多指教...
※ 编辑: dlikeayu (1.34.4.90), 06/01/2014 02:13:43
※ 发信站: 批踢踢实业坊(ptt.cc)
※ 转录者: dlikeayu (1.34.4.90), 06/01/2014 02:17:45
27F：推 mrbigmouth:....慢着 没开启ssl服务? 06/01 03:12
嗯 的确没放ssl
这个主机上放的都是demo用的网站跟showcase
这边顺便问一下经验
一般公司企业会在这种类型的主机挂ssl吗？
28F：→ up9cloud:iptables -I OUTPUT 1 -s the_damn_Ip -j DROP 06/01 05:51
29F：→ up9cloud:直接ban掉output ip -.- 之後再慢慢找 06/01 05:53
30F：推 alog:换掉重架 06/01 14:58
31F：→ alog:以後ssl存取的时候 限定ip区段 06/01 15:00
32F：→ alog:ssh 06/01 15:00
33F：→ alog:区段可以到twnic查 06/01 15:00
34F：→ danny8376:你确定开TW或HINET之类的够安全吗(笑 06/01 18:48
没开密码 只有用ssh key pair有这麽不安全吗？ QQ
※ 编辑: dlikeayu (1.34.4.90), 06/01/2014 19:10:32
35F：→ danny8376:只用keypair喔 扣掉OpenSSH自身有洞外 06/01 19:37
36F：→ danny8376:应该是无敌安全了www 不过通常开口不在SSH就是 06/01 19:37
37F：→ danny8376:你那个80底下跑的东西可以跑出你想都想不到的洞来 06/01 19:38
38F：→ danny8376:(纯静态网页就当我没说XD 06/01 19:38
39F：→ alog:keypair流出去就糗了 没有百分百的安全 06/02 00:27
40F：→ alog:danny8376, 开TW哪里不够安全 ㄎㄎ.. 06/02 00:29
41F：→ alog:骇客这麽喜欢用跳板 你要遇到来自台湾的还真少 06/02 00:30
42F：→ alog:平常用的区段就那几个最多加个手机用的区段 06/02 00:30
43F：→ alog:再加上特定的Port 你又用 Key Pair 要入侵的机会有多高 06/02 00:30
44F：→ alog:如果楼主的ssh被try表示aws firewall那里的ssh port 06/02 00:33
45F：→ alog:设定就是anywhere 不被try怎麽可能 06/02 00:33
46F：→ alog:把Key Pair 当作是无敌安全的解法是很错误的观念 06/02 00:37
47F：→ alog:把你常用的区段设定好，可以少很多事情 06/02 00:49
48F：→ danny8376:我该说keypair流出跟密码流出同样道理吗... 06/02 01:39
49F：→ danny8376:要是流出就是你换port也一样 06/02 01:39
50F：→ danny8376:至於挡区段... 自己这边好几台看来 06/02 01:44
51F：→ danny8376:光换port就几乎没事了 ssh几乎也就22狂去try密码而已 06/02 01:45
52F：→ danny8376:换port或keypair还出事几乎都是被针对了 06/02 01:45
53F：→ alog:我只想问是，限制使用区段这样是有多有问题@.@ 06/02 01:48
54F：→ alog:二来我也没有反对 keypair 不懂你问的够安全是什麽意思?? 06/02 01:49
55F：→ danny8376:这种扫描的... 都是被当肉鸡没自觉的 台湾也不少... 06/02 01:54
56F：→ danny8376:(当然整体CN最多...) 06/02 01:55
57F：→ danny8376:而对付扫描的... 说实话 换个port就挡掉99%有了 06/02 01:55
58F：→ alog:限定常用的ip区段有很大的问题吗..可没叫你把全台湾的IP列进 06/02 01:56
59F：→ alog:换Port能挡，大部分是因为攻击脚本或Scanner的设定问题 06/02 01:56
60F：→ alog:如果网站真的被针对，Key Pair or Firewall Access 控制很重 06/02 01:56
61F：→ alog:要 06/02 01:56
62F：→ alog:所以个人推崇 Firewall 一定优先设定，而且重要登入管道 06/02 01:57
63F：→ alog:要用白名单的方式限制起来，就包含你nginx也可以用deny挡 06/02 01:58
64F：→ alog:重要的後台或程式 06/02 01:58
65F：→ alog:Key Pair 固然好，但是 Firewall 也很重要 06/02 01:58
66F：→ alog:现在aws的ec2也通常由security group 管理，能先设定好 06/02 01:59
67F：→ alog:你可以防止一些*nix程式的0day 06/02 01:59
68F：→ alog:openssl、mysql相关漏洞就是一个很好的例子 06/02 02:00
69F：→ alog:从来都没有人料想过authentication机制有天会被人家打爆 06/02 02:00
70F：→ danny8376:要我挡IP Range的话我会乾脆找一个固定IP做入口就是了 06/02 02:02
71F：→ danny8376:至於挡IP... 以原PO的种花来说... 06/02 02:03
72F：→ alog:我可建议 06/02 02:03
73F：→ alog:XXX.YYY 为一个区段，最多三组，再配合一个手机用的区段 06/02 02:04
74F：→ danny8376:现在可能拿到的Range也不算少就是(倒... 06/02 02:04
75F：→ alog:或你也可以配固定IP＋手机区段 06/02 02:04
76F：→ alog:向中华电信，你能拿到的最多区段只有三组 06/02 02:04
77F：→ alog:那些区段也是地方性的 06/02 02:04
78F：→ alog:手机区段则是..因为如果你不是用ec2的话，临时要处理 06/02 02:05
79F：→ alog:你又无法用网路上的单人模式进入主机，那麽就糟糕了 06/02 02:05
80F：→ alog:所以我会把用手机上网的IP常用区段记下来，免得人在外面被ban 06/02 02:05
81F：→ alog:另外这类的封锁要用drop 这样一来攻击脚本自己就先慢下来 06/02 02:06
82F：→ alog:有很多的自动攻击程式没有所谓的timeout概念， 06/02 02:06
83F：→ alog:个人还蛮坚持用手机区段的，因为固定ＩＰ真的机器有事动不到 06/02 02:07
84F：→ alog:QQ 06/02 02:07
85F：→ danny8376:种花开头要看位置 有些人在的地方开头就真的跳很大(汗.. 06/02 02:14
86F：→ alog:这挖不母斋~ 跳太大没办法，就算你是固定IP有天也会被强迫换 06/02 02:15
87F：→ alog:中华电信已经强迫换过固定IP -___- 06/02 02:15
88F：→ alog:如果真的没办法..把Port换到上万的数字就ok惹 06/02 02:16
89F：→ danny8376:所以我有台最小DO就专门拿来放固IP当绝对可用的入口XD 06/02 02:16
90F：→ alog:do的话 新加坡的机子要被换掉ip机会不大 06/02 02:17
91F：→ alog:ny1~ny2我不晓得 06/02 02:18
92F：→ alog:然後do上一堆scanner = = 06/02 02:18
93F：→ alog:之前遇过XD 06/02 02:18
94F：→ alog:程式都从github公开的攻击器拿的 06/02 02:19
95F：→ danny8376:便宜啊(笑 06/02 02:20
96F：→ alog:应该是酷碰XD.. freeeeeeee 10$ 20$ 50$ 06/02 02:20
97F：→ danny8376:所以说便宜啊 0成本XD 06/02 02:27