当前位置：首页 -> 网络安全 -> 防范措施 -> 绝地反击反黑纪实

绝地反击反黑纪实

时间： 2021-07-31 作者：daque

是几年前的工作了，此刻写出来与同业们交谈，蓄意能起到一个举一反三的效率。咱们单元托管了一台web效劳器，因为运用的是当局域名，所以更加惹黑。咱们单元资本重要，没钱买风火墙和贸易侵犯检验和测定软硬件。我选定了linux做体例，其时最新的本子是redhat6.2，并装上ssh，再不举行长途处置。装完体例自后，我用nmap和cops扫了几遍，封闭不必的端口，把不安定的步调简略，加了些安定办法。我把cops装在一个很不起眼的场合，之后晋级了wu-ftp，这下该释怀了吧。有两天我在查看安成天志时都看到一条怪僻的消息： ...ssh crc error... 这一局面并没有惹起我充满的关心。一世界午，我创造咱们的网页被换了，我吃了一惊，第一反馈是咱们的效劳器被黑了。换上的网页全是英文的，再有两幅咱们国度引导人的像片，......（因为政事上的因为，我就不复说了）。我登时平静下来举行领会，在上昼11：30--12：00间，我查看过，这时候网页还没有被换掉。侵犯者的功夫最多惟有两个多钟点，他在这短短的两个多钟点内，报复端口，获得root权力，上传网页，创造并废除我树立的妨碍...不大大概，也即是说我此刻还不妨夺回遏制权。我赶快连上效劳器，登时封闭inetd，翻开/etc/passwd文献，简略侵犯者介入的用户，再查看/etc/shadow文献，把相映的用户口令简略。翻开/etc/hosts.deny和/etc/hosts.allow，树立承诺考察的ip范畴。这下不妨松口吻了。接下来回复被窜改的网页，查看日记，看可见者何方崇高？不好，日记全被简略。可见侵犯者是个行家，哼，行家又如何样，我保藏的杀手锏还没用呢。启用cops把体例查一遍，在/tmp目次下创造rootkit东西，又创造了减少的少许文献。我翻开rootkit东西看一下，居然是rootkit的局部步调，但rootkit没有安置完备，可见侵犯者并没有实足摸透和冲破我树立的妨碍。这回大略了，废除那些rootkit的东西就ok了。按我的直观，侵犯者报复的是端口22，这个ssh效劳步调有题目。到securityshell官方网站看一看吧，居然，从ssh-1.2.27到ssh-1.2.31都有题目，我所用的是ssh-1.2.27，恰巧着了道。换个最新的吧，载入ssh-1.2.32源代码举行编写翻译，加上选项--with_tcpwrap_config，我畏缩谁？十足停当后等候敌手再次抨击。他确定不会停止，到嘴的肉都给我扣了出来，想想呵，他明摆着仍旧获得了root的权力，可硬是给我撵了出去，能佩服吗？换了我确定也不平。延续两个礼拜安然无恙，偶然有几个小贼老觉得我的ftp效劳步调有缺点，总是瞎折腾，不必管他。毕竟一天早晨敌手来了，跟上回一律，仍旧报复端口22。该功成身退了，没瞥见本子号吗，是1.2.32，还想来一个crc溢出？没门！看看是哪来的，嗯?......ip好熟呵，犹如是街坊的--同一网段。用nmap扫一下看看。也是linux效劳器，开了少许不该开的端口，再有一个疑惑的端口6666，这台效劳器大概也被黑了。telnet ip 22看看，ssh-1.5-1.2.28，比我从来的好不了几何，确定是被黑了。我要打抱不平夺回这台效劳器的遏制权，连上端口23......被中断贯穿。再连上端口22......又被中断贯穿。没方法，欣赏一下她们的网页，看看旁人被黑的功效吧。唉...网页没被改，我的敌手还没赶得及改旁人的网页就赶来跟我较量来了，这多几何少不妨看出点别有用心了。好，来吧，我要把你这块按照地也端了。看看是哪个单元的效劳器，该当从网页上不妨看出来。在网页上有单元称呼，e-mail地方，电话号子，...，有了，打个电话：“喂，是xx单元吗？尔等托管的效劳器被黑客侵犯了，跟尔等的网管员说一声。” 几个钟点后，肉鸡断线了，我敌手的按照地就此被端。又是延续几天安然无恙。某天上昼11点多，咱们的效劳器遽然断线，莫非又被黑了？犹如不大大概。最有大概的是硬件妨碍，第二个大概是电信任管效劳器的搜集出题目，第三个大概是效劳器掉电了，第四个大概是招到ip洪流、dos等报复，结果一个的大概是硬盘作废，这种大概性最小，由于我用的是raid1镜像。结果即是，别管他，由于我要放工了，下昼再说。下昼上班后我打了个电话给托管机房的徐师父，“喂，徐师父吗？帮看看咱们的效劳器是否掉电了？”徐师父回复：“没事，是搜集题目，不领会如何回事遽然搜集不通了。尔等的效劳器还算好的，有几个单元的都死机了。”噢，那么说50%的大概是被ip洪流吞噬了。下昼五点，不妨连上效劳器了，十足ok。你很大概会问：我在效劳器上做了什么动作？好报告你吧， 1、把不常常变换的目次和文献设为只读。 2、不要让旁人不妨简单的读取/proc目次下的消息。 3、运用ext2文献体例个性，把要害的文献、目次、步调等设为不行变动，即 chattr +i files 4、把chattr步调更名，放在旁人不许简单找到的场合。结果即是，必需装一套侵犯检验和测定东西，再不在被侵犯后还能把方便之门步调挖出来。

绝地反击反黑纪实

相关推荐

推荐下载

热门阅览

最新排行