作者dlikeayu (太陽拳vs野球拳)
看板Web_Design
標題Fw: [問題] 網站被當Dos攻擊的跳台
時間Sun Jun 1 02:17:45 2014
※ [本文轉錄自 Linux 看板 #1JYOm-Eq ]
作者: dlikeayu (太陽拳vs野球拳) 看板: Linux
標題: [問題] 網站被當Dos攻擊的跳台
時間: Sat May 31 16:00:52 2014
這幾天收到AWS的通知
說我的EC2 Instance 去攻擊別人
說我在05/30中午, 05/31早上這兩天攻擊別人
除了攻擊別人的80port 也有攻擊其它的port
我查了幾個log
nginx/access.log
nginx/error.log
syslog
auth.log
因為網站上有架很多網站
然後透過nginx來做虛擬伺服器
目前有以下幾個疑點
1.wordpress
因為先前有傳出xmlrpc的漏洞攻擊
有架wordpress會被當僵屍來攻擊別人
在30號時我查了跟xmlrpc.php有關的請求
log裏只有在19號跟25號有請求過
請求數也才11個
在30號時我從wordpress的設定、function code、跟nginx去阻擋一切有關
xmlrpc請求的服務
但是在31號早上時還是收到警告，說我們還在攻擊別人
2.ssh
因為原本是使用Key pair來登入vps
port也沒改
過去在查auth.log也的確有很多的hack想要試探登入
但沒有被登入的紀錄(我也知道真的被登入也早被洗掉了= =)
在30號收到通知後
我去把port改掉
想說要是真的是駭入
又要有key pair又要猜port
應該沒這麼容易吧？
但31號...嗯
3.被我們攻擊的伺服器ip
我去cat |grep log都沒查到我們有去攻擊aws所說的ip
4.magento
在30號前幾天，我們測試用的PHP套件magento
我用後台做了線上更新
而不是用下載回來的package去覆蓋升級
另外，此套件我們的後台帳密設的還蠻簡單的(因為測試用)
5. cat xxx.log | grep ooo
我查了aws所說的攻擊時間點附近的log
都沒看到什麼異常
6.netstat -ntu | awk xxxxxxx
有下這指令看有什麼異常的傳輸
但是hack發起的時間點又不是一直持續的
所以我下這指令時，server並沒有在攻擊別人
也查不出個所以然...
7.利用Xss來做Dos?
最後有想到是不是這個可能
目前是想到wordpress跟magento
可能更新時被人植入後門
再透過這後門來做Dos攻擊別人
另外magento要是後台被登入的話
hack也可以從後台去更改html code
以上
目前就想到這些
不知道還有哪些地方需要加強防範
或是有什麼指令方法可以更明確的查到我們到底是怎麼去攻擊別人的紀錄
還麻煩請教一下
--
標題 Re: [問卦] 第一次約伊湄出門該去哪裡用餐?
1F：推 xyz4594:我比較想上任立渝 我倒是還沒玩過氣象主播01/18 01:51
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.230.91.157
※ 文章網址: http://webptt.com/m.aspx?n=bbs/Linux/M.1401523262.A.3B4.html
※ dlikeayu:轉錄至看板 MIS 05/31 16:06
2F：→ dododavid006:關於第2點 其實port不用猜啊 nmap掃下就知道了www 05/31 18:29
3F：→ dododavid006:建議是先確定時間點吧 把相關的記錄清查過 05/31 18:31
4F：→ dododavid006:這樣才能確定是怎麼攻擊的 05/31 18:32
AWS只有寄信來說哪個時間點
然後哪個IP哪個Port被我們攻擊
其它像把我們當白痴一樣也沒提細節
實在是很難找...
5F：→ bitlife:通常hacker只有植入木馬那次才需要入侵系統,植好木馬你每 05/31 19:01
6F：→ bitlife:次重開機都會幫他跑攻擊服務.若確定被入侵,從源頭重灌有時 05/31 19:02
7F：→ bitlife:是必要的.全系統備份可能都帶有木馬.你目前的狀況是無法確 05/31 19:03
8F：→ bitlife:認(都是別人告知),既然頻率很高,守株查兔定時檢查系統是否 05/31 19:04
9F：→ bitlife:有不明對外站連線(最好就是被告知DOS的攻擊對象) 05/31 19:05
這前提是真的被ssh登入了，但目前沒查到被例外登入就是
所以只有可能是被XSS或是更新套件時才被植入
主要還是希望有更多細節
或是高高手提供方法讓小弟去找出細節來...
※ 編輯: dlikeayu (1.34.4.90), 05/31/2014 22:52:58
10F：→ bitlife:植入木馬不一定走ssh,只要任何一個對外有開port接受連入的 05/31 23:03
11F：→ bitlife:service有漏洞能讓遠端執行指令就是入侵的門戶,這個只能檢 05/31 23:05
12F：→ bitlife:查你用的service有沒有vulnerability沒有更新或修正的 05/31 23:06
14F：→ bitlife:我剛看了一下第一個vulnerability,時間很新,程度是嚴重等 05/31 23:12
15F：→ bitlife:級,又是惡名昭彰的buffer over/underflow 來做到入侵者設 05/31 23:13
16F：→ bitlife:計的code execution,這是很可能的入侵管道,如果你沒修這個 05/31 23:14
17F：→ bitlife:新出沒多久的漏洞,那就趕快修一下,其它的major一定要修,後 05/31 23:15
18F：→ bitlife:面的如果advisory裏有提到code execution的也都要修.然後 05/31 23:15
19F：→ bitlife:每個有對外服務的service (如ssh)或plug-in(如php等)都要 05/31 23:16
20F：→ bitlife:類似處理 05/31 23:16
php因為我是用nginx再走unix socket
所以真要進來也只有port 80了
ssh authorized_keys也確認只有我的pub key
使用者沒開密碼
21F：→ bitlife:另外就是最近很紅的heartbleed,看看你的版本有沒有中標? 05/31 23:17
22F：→ bitlife:從上述漏洞入侵的,log一定沒東西,log就像大門的攝影機,但 05/31 23:20
23F：→ bitlife:小偷是挖密道進來的 05/31 23:20
24F：→ bitlife:忘了講如果你的系統沒有隨時接收distribution的安全性更新 05/31 23:31
25F：→ bitlife:(一般production server不會隨便更新,所以很可能沒有),更 05/31 23:31
26F：→ bitlife:要優先考慮各項service的vulnerabilities 05/31 23:31
嗯，這台server incoming只有開 ssh跟80
nginx 我的版本是1.6.0
目前看來是沒在名單內
heartbleed的話，剛看是沒開啟ssl服務
這下又頭痛了，不過還是感謝你幫忙過瀘掉一些可能性:D
這邊偷自介一下
因為小弟只是個程式設計師
system engineer的知識有限
還請多多指教...
※ 編輯: dlikeayu (1.34.4.90), 06/01/2014 02:13:43
※ 發信站: 批踢踢實業坊(ptt.cc)
※ 轉錄者: dlikeayu (1.34.4.90), 06/01/2014 02:17:45
27F：推 mrbigmouth:....慢著 沒開啟ssl服務? 06/01 03:12
嗯 的確沒放ssl
這個主機上放的都是demo用的網站跟showcase
這邊順便問一下經驗
一般公司企業會在這種類型的主機掛ssl嗎？
28F：→ up9cloud:iptables -I OUTPUT 1 -s the_damn_Ip -j DROP 06/01 05:51
29F：→ up9cloud:直接ban掉output ip -.- 之後再慢慢找 06/01 05:53
30F：推 alog:換掉重架 06/01 14:58
31F：→ alog:以後ssl存取的時候 限定ip區段 06/01 15:00
32F：→ alog:ssh 06/01 15:00
33F：→ alog:區段可以到twnic查 06/01 15:00
34F：→ danny8376:你確定開TW或HINET之類的夠安全嗎(笑 06/01 18:48
沒開密碼 只有用ssh key pair有這麼不安全嗎？ QQ
※ 編輯: dlikeayu (1.34.4.90), 06/01/2014 19:10:32
35F：→ danny8376:只用keypair喔 扣掉OpenSSH自身有洞外 06/01 19:37
36F：→ danny8376:應該是無敵安全了www 不過通常開口不在SSH就是 06/01 19:37
37F：→ danny8376:你那個80底下跑的東西可以跑出你想都想不到的洞來 06/01 19:38
38F：→ danny8376:(純靜態網頁就當我沒說XD 06/01 19:38
39F：→ alog:keypair流出去就糗了 沒有百分百的安全 06/02 00:27
40F：→ alog:danny8376, 開TW哪裡不夠安全 ㄎㄎ.. 06/02 00:29
41F：→ alog:駭客這麼喜歡用跳板 你要遇到來自台灣的還真少 06/02 00:30
42F：→ alog:平常用的區段就那幾個最多加個手機用的區段 06/02 00:30
43F：→ alog:再加上特定的Port 你又用 Key Pair 要入侵的機會有多高 06/02 00:30
44F：→ alog:如果樓主的ssh被try表示aws firewall那裡的ssh port 06/02 00:33
45F：→ alog:設定就是anywhere 不被try怎麼可能 06/02 00:33
46F：→ alog:把Key Pair 當作是無敵安全的解法是很錯誤的觀念 06/02 00:37
47F：→ alog:把你常用的區段設定好，可以少很多事情 06/02 00:49
48F：→ danny8376:我該說keypair流出跟密碼流出同樣道理嗎... 06/02 01:39
49F：→ danny8376:要是流出就是你換port也一樣 06/02 01:39
50F：→ danny8376:至於擋區段... 自己這邊好幾台看來 06/02 01:44
51F：→ danny8376:光換port就幾乎沒事了 ssh幾乎也就22狂去try密碼而已 06/02 01:45
52F：→ danny8376:換port或keypair還出事幾乎都是被針對了 06/02 01:45
53F：→ alog:我只想問是，限制使用區段這樣是有多有問題@.@ 06/02 01:48
54F：→ alog:二來我也沒有反對 keypair 不懂你問的夠安全是什麼意思?? 06/02 01:49
55F：→ danny8376:這種掃描的... 都是被當肉雞沒自覺的 台灣也不少... 06/02 01:54
56F：→ danny8376:(當然整體CN最多...) 06/02 01:55
57F：→ danny8376:而對付掃描的... 說實話 換個port就擋掉99%有了 06/02 01:55
58F：→ alog:限定常用的ip區段有很大的問題嗎..可沒叫你把全台灣的IP列進 06/02 01:56
59F：→ alog:換Port能擋，大部分是因為攻擊腳本或Scanner的設定問題 06/02 01:56
60F：→ alog:如果網站真的被針對，Key Pair or Firewall Access 控制很重 06/02 01:56
61F：→ alog:要 06/02 01:56
62F：→ alog:所以個人推崇 Firewall 一定優先設定，而且重要登入管道 06/02 01:57
63F：→ alog:要用白名單的方式限制起來，就包含你nginx也可以用deny擋 06/02 01:58
64F：→ alog:重要的後台或程式 06/02 01:58
65F：→ alog:Key Pair 固然好，但是 Firewall 也很重要 06/02 01:58
66F：→ alog:現在aws的ec2也通常由security group 管理，能先設定好 06/02 01:59
67F：→ alog:你可以防止一些*nix程式的0day 06/02 01:59
68F：→ alog:openssl、mysql相關漏洞就是一個很好的例子 06/02 02:00
69F：→ alog:從來都沒有人料想過authentication機制有天會被人家打爆 06/02 02:00
70F：→ danny8376:要我擋IP Range的話我會乾脆找一個固定IP做入口就是了 06/02 02:02
71F：→ danny8376:至於擋IP... 以原PO的種花來說... 06/02 02:03
72F：→ alog:我可建議 06/02 02:03
73F：→ alog:XXX.YYY 為一個區段，最多三組，再配合一個手機用的區段 06/02 02:04
74F：→ danny8376:現在可能拿到的Range也不算少就是(倒... 06/02 02:04
75F：→ alog:或你也可以配固定IP＋手機區段 06/02 02:04
76F：→ alog:向中華電信，你能拿到的最多區段只有三組 06/02 02:04
77F：→ alog:那些區段也是地方性的 06/02 02:04
78F：→ alog:手機區段則是..因為如果你不是用ec2的話，臨時要處理 06/02 02:05
79F：→ alog:你又無法用網路上的單人模式進入主機，那麼就糟糕了 06/02 02:05
80F：→ alog:所以我會把用手機上網的IP常用區段記下來，免得人在外面被ban 06/02 02:05
81F：→ alog:另外這類的封鎖要用drop 這樣一來攻擊腳本自己就先慢下來 06/02 02:06
82F：→ alog:有很多的自動攻擊程式沒有所謂的timeout概念， 06/02 02:06
83F：→ alog:個人還蠻堅持用手機區段的，因為固定ＩＰ真的機器有事動不到 06/02 02:07
84F：→ alog:QQ 06/02 02:07
85F：→ danny8376:種花開頭要看位置 有些人在的地方開頭就真的跳很大(汗.. 06/02 02:14
86F：→ alog:這挖不母齋~ 跳太大沒辦法，就算你是固定IP有天也會被強迫換 06/02 02:15
87F：→ alog:中華電信已經強迫換過固定IP -___- 06/02 02:15
88F：→ alog:如果真的沒辦法..把Port換到上萬的數字就ok惹 06/02 02:16
89F：→ danny8376:所以我有台最小DO就專門拿來放固IP當絕對可用的入口XD 06/02 02:16
90F：→ alog:do的話 新加坡的機子要被換掉ip機會不大 06/02 02:17
91F：→ alog:ny1~ny2我不曉得 06/02 02:18
92F：→ alog:然後do上一堆scanner = = 06/02 02:18
93F：→ alog:之前遇過XD 06/02 02:18
94F：→ alog:程式都從github公開的攻擊器拿的 06/02 02:19
95F：→ danny8376:便宜啊(笑 06/02 02:20
96F：→ alog:應該是酷碰XD.. freeeeeeee 10$ 20$ 50$ 06/02 02:20
97F：→ danny8376:所以說便宜啊 0成本XD 06/02 02:27