記一次云服務(wù)器攻擊事件

wwolf 發(fā)布于2019-04-24 19:27 / 778人閱讀

摘要：收到報(bào)警年月號(hào)，正當(dāng)大家熱情的討論人類(lèi)首次拍攝的關(guān)于黑洞的照片的時(shí)候，突然收到了來(lái)自阿里云的報(bào)警，說(shuō)是我們的一臺(tái)服務(wù)器正在對(duì)外攻擊趕緊登陸云控制臺(tái)，看看到底是怎么回事。

收到報(bào)警

2019年4月10號(hào)，正當(dāng)大家熱情的討論人類(lèi)首次拍攝的關(guān)于黑洞的照片的時(shí)候，突然收到了來(lái)自阿里云的報(bào)警，說(shuō)是我們的一臺(tái)服務(wù)器正在對(duì)外攻擊！
warning_jpeg
趕緊登陸云控制臺(tái)，看看到底是怎么回事。
1_jpeg

十有八九是中招了。。。
登陸到服務(wù)器上去看看吧。

先top一下

先top一下，看看什么情況吧
top1_jpeg
看來(lái)就是khugepageds這個(gè)進(jìn)程搞得鬼。
來(lái)看一下這個(gè)進(jìn)程是個(gè)什么東西。
ps1_jpeg
/tmp下的一個(gè)文件。
哦了，kill掉這個(gè)進(jìn)程，刪掉這個(gè)文件，搞定。
再top一下
top2_jpeg
沒(méi)有問(wèn)題，搞定收工！

真的搞定了嗎？

事情還是沒(méi)有想象中這么簡(jiǎn)單啊。
沒(méi)一會(huì)，這個(gè)鬼進(jìn)程又出現(xiàn)了，真是冤魂不散。。。
這是為什么呢？難道是crontab有定時(shí)任務(wù)？
crontab_root_jpeg
沒(méi)有！
再仔細(xì)觀察一下這個(gè)進(jìn)程，是confluence這個(gè)用戶的進(jìn)程。
好吧，切換到這個(gè)用戶看一下。
crontab_con_jpeg
果然有問(wèn)題！！！
干掉這個(gè)定時(shí)任務(wù)，kill進(jìn)程，刪除文件，這活兒干起來(lái)真是順手！

事情還沒(méi)有結(jié)束？？？

有了第一次的經(jīng)驗(yàn)，這次不能大意，再觀察一會(huì)兒。
特么的，又出現(xiàn)了！！！
這是什么鬼？？？
crontab的任務(wù)同樣也被添加上了。
看來(lái)還是沒(méi)有搞干凈。
再top一下看看。
top3_jpeg
kerberods這個(gè)進(jìn)程引起了注意，這是個(gè)什么鬼？而且是屬于confluence這個(gè)用戶的。
不應(yīng)該啊？
ps一下，又是/tmp下的一個(gè)文件。
打開(kāi)看一下，是一個(gè)html文件。
我很想展示給你們看一下，但是，我忘了截圖，也忘了保存。。。
接下來(lái)又是輕車(chē)熟路，刪文件，殺進(jìn)程。
這次觀察了好好好好好長(zhǎng)時(shí)間，鬼進(jìn)程終于沒(méi)有再出現(xiàn)。

后續(xù)動(dòng)作

為了保險(xiǎn)起見(jiàn)，把服務(wù)器網(wǎng)絡(luò)端口什么的先給關(guān)了吧。
iptables,farewall什么的都過(guò)時(shí)了。在阿里云，你只需要登錄控制臺(tái)，打開(kāi)安全組，添加/修改規(guī)則就可以了！
vpc_jpeg