记录一次黑客入侵以及解决经历

最新推荐文章于 2024-06-21 15:30:00 发布

置顶叱咤少帅（少帅）

最新推荐文章于 2024-06-21 15:30:00 发布

阅读量791

点赞数 1

CC 4.0 BY-SA版权

分类专栏： Linux/Shell 集锦

本文链接：https://blog.csdn.net/knight_zhou/article/details/115204376

Linux/Shell 集锦专栏收录该内容

132 篇文章 ¥39.90 ¥99.00

订阅专栏

超级会员免费看

本文记录了一次黑客入侵事件的全过程，从朋友的阿里云服务器收到入侵警告开始，通过分析系统进程、检查防火墙规则，发现木马可能通过Java漏洞进入。在找到异常进程并尝试删除后，通过了解隐藏进程原理，最终成功定位并解决了问题。

背景

收到朋友通知，朋友服务器好几台阿里云服务器云盾提示如下，需要进行处理。

分析

因为服务器之前是我维护的，服务器的crond已经卸载，curl、wget、python都重命名了，防火墙的规则如下:

# Generated by iptables-save v1.4.7 on Thu Aug 30 19:12:55 2018
*filter
:INPUT ACCEPT [251:21331]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [258:22554]

-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp --icmp-type any -j ACCEPT

##禁掉攻击扫描ip
-A INPUT -s 10.174.134.244/32 -j DROP

#自定义开放端口规则
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
#-A INPUT -p tcp -m tcp --dport 8161 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 65422 -j ACCEPT 

#固定末尾规则（禁止修改）
-A INPUT -m state --st

了解本专栏