作者rich197088 (Jasper)
看板Python
標題[問題] 安裝套件後不斷送出流量(300G)到中國
時間Wed Aug 22 14:53:57 2018
大家好
如題
最近已經弄爆了好多個GCP的帳號額度
原本以為是被人攻擊，後來裝了iftop和vnstat監控
發現都是流量流出到大陸那邊，封了一個他換一個，抓了三個IP如下：
43.240.158.165
122.246.16.22
203.107.32.245
確定都是大陸那邊的，直接Google了一下發現都是高防伺服器(?)的IP
但在環境(Ubuntu 16.04 LTS)是乾淨的時候都沒有這種問題
所以猜測大概是裝了某些套件不乾淨所以虛擬機被當殭屍電腦
裝的套件太多了，但主要裝的就是Django、MySQL、uWSGI、Channels之類的主流套件
於是我先暫時用iptables先只允許台灣IP和微信、CloudFlare的流進流出
可是這不是長久之計，因為之後還是得上線
而且如果沒有開放其他地方的IP連線，WebSocket不知道為什麼沒辦法連線
就會在每次 Handshaking 後直接 Disconnect
想請問一下大家有沒有其他方法可以追蹤根源?
或是能夠檢測套件安全性的工具? Safety似乎沒辦法找到有問題的套件
因為比較少接觸Linux，所以想請教有經驗的版友們
感謝
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.36.195.43
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Python/M.1534920840.A.FB3.html
1F：推 Sunal: 應該無法 先列出你裝了哪些 08/22 16:06
真的太多了，有些是GCP剛裝系統就會裝的
aioredis==1.1.0 asgiref==2.3.2 async-timeout==2.0.1
attrs==18.1.0 autobahn==18.7.1 Automat==0.7.0
blinker==1.3 boto==2.38.0 channels==2.1.2
channels-redis==2.2.1 chardet==2.3.0 click==6.7
cloud-init==18.2 command-not-found==0.3 configobj==5.0.6
constantly==15.1.0 cryptography==1.2.3 daphne==2.2.1
Django==2.1 django-mysql==2.4.0 django-redis==4.9.0
django-user-agents==0.3.2 dparse==0.4.1 google-compute-engine==2.8.2
hiredis==0.2.0 hyperlink==18.0.0 idna==2.7
incremental==17.5.0 Jinja2==2.8 jsonpatch==1.10
jsonpointer==1.9 language-selector==0.1 lxml==4.2.4
MarkupSafe==0.23 msgpack==0.5.6 mysqlclient==1.3.13
oauthlib==1.0.3 packaging==17.1 Pillow==5.2.0
prettytable==0.7.2 pyasn1==0.1.9 prettytable==0.7.2
pyasn1==0.1.9 pycurl==7.43.0 pygobject==3.20.0
PyHamcrest==1.9.0 PyJWT==1.3.0 pyparsing==2.2.0
pyserial==3.0.1 python-apt==1.1.0b1+ubuntu0.16.4.2 python-debian==0.1.27
python-systemd==231 pytz==2018.5 PyYAML==3.11
redis==2.10.6 requests==2.9.1 safety==1.8.4
six==1.10.0 ssh-import-id==5.5 Twisted==18.7.0
txaio==18.7.1 ua-parser==0.8.0 ufw==0.35
unattended-upgrades==0.1 urllib3==1.13.1 user-agents==1.1.0
uWSGI==2.0.17.1
※ 編輯: rich197088 (114.36.195.43), 08/22/2018 16:24:57
2F：→ dododavid006: 說來流量確定是從 python 發出來的？ 08/22 16:32
3F：→ dododavid006: 因為我以前常發生的是 reverse proxy 沒設定好被人 08/22 16:33
4F：→ dododavid006: 當 proxy 用 08/22 16:33
5F：→ rich197088: 用iftop沒辦法抓是哪個程式發的 所以也是苦手的地方 08/22 16:33
6F：→ rich197088: 但還沒裝python套件前都沒事 一裝就爆了 整個超卡 08/22 16:34
7F：→ rich197088: 去看gcp billing details才發現爆炸 08/22 16:35
8F：→ rich197088: 而且流出的速度是用好用滿的 每秒400MB 隔天就收到 08/22 16:36
9F：→ rich197088: Google的警告 08/22 16:36
10F：→ djshen: 有其他可以看哪個process的工具吧 08/22 16:55
12F：→ s860134: 能下 ss 嘛? 08/22 21:38
13F：→ s860134: 有流量的時候下 ss 應該可以看到有流量的 port 08/22 21:39
14F：→ s860134: 再用 port 查 pid 去追哪個 process 發的 08/22 21:39
16F：→ s860134: 如果你懷疑套建安裝不乾淨，你可以嘗試先打包你 local 端 08/22 21:43
18F：→ s860134: 直接安裝你包出來的版本不用 pip 去載線上的 08/22 21:43
19F：→ rich197088: 好，最近沒有被流出，過幾天再看看，謝謝 08/24 15:01