记一次云服务器被入侵

这次入侵发生在半年前,那时候还没建立CSDN,今天记录一下.

服务器:腾讯云学生机

Centos6.x

1核 1GB 1Mbps

Wordpress最近爆出漏洞，不少用户遭到攻击.

这是发生在我主机上的情况，2月6日接收到一个邮件，问我是否通过在Wordpress上的一个评论，当时有点，之前没有过评价，我就直接通过了，2月6日，我用ssh连接服务器，出现无法连接的情况，我于是重启服务器，还是不行，之后强制重启，这次成功，不过在书命令的时候非常慢，输完之后还要等待一会。没发现异常，之后又出现了ssh无法连接的情况，vnc此时也无法连接，我去看了下最近的CPU记录，如下图



之前是CPU占用100%，直接宕机，当时还是无法连接，我用另一台主机扫描这台服务器，发现了几个未知的端口



之后再次重启，便可以的登录了，于是我设置了一下安全组，关掉了了这几个端口。

本以为问题就这么结束了,我再次ssh登录时，输入命令执行变得非常慢，有时候直接卡死,我执行cd / 后，看到根目录产生了几个异常文件，如下图



通过cmd.n文件 可以看到 此命令关掉了我的防火墙，

然后从一个服务器下载了expl文件并执行，后来证明为

linux backdoor gates5

于是我直接将它们删除，当时还没意识到感染很严重。

后来我在/root目录里陆续发现了一些异常文件，我下载了

clamav

这款杀毒软件，全盘杀了一次毒，卡顿的问题解决。

于是我在全盘搜索了一下

find / -name conf.n

发现在好几个目录里都存在着个文件，还看到一个.getty的文件

我去网上搜索了一下这个文件，发现这就是

linux backdoor gates5

导致的,服务器已经变成黑客的肉鸡，被植入了DDOS程序。

还有那个conf.n文件是无法删除的，一删除立即会出现

我之前还用过top命令查看过谁占用的进程，

其实这根本没用,因为ps top这些命令早就本替换掉

通过

ll /bin/ps

查看大小，也证实了这一点

文件大于1M。

如果进行彻底的清理 将会非常麻烦 我在杀过毒后问题已经不大，但我然担心还会出现问题，于是备份数据重装系统。

总结

最近Wordpress爆出越权漏洞，我又没有升级，从而导致了这次事件的发生，又想起了Wordpress上的评论，

可能那就是源头，也不一定是吧，如果那条评论我没通过

以下是几点防护措施

1，修改ssh的默认端口

2，禁止root账号登陆

3，新建一个账号(不要用admin之类容易猜到的账号，并设置一个复杂的密码)并让其可以sudo su成root

4，用DenyHosts防止暴力破解将对方尝试破解的ip拒绝掉

5，mysql只允许自己登陆，禁掉其它

原文

Wordpress最近爆出漏洞，不少用户遭到攻击

这是发生在我主机上的情况，2月6日接收到一个邮件，问我是否通过在Wordpress上的一个评论，当时有点，

之前没有过评价，我就直接通过了，2月6日，我用ssh连接服务器，出现无法连接的情况，我于是重启服务器，

还是不行，之后强制重启，这次成功，不过在书命令的时候非常慢，输完之后还要等待一会。没发现异常，

之后又出现了ssh无法连接的情况，vnc此时也无法连接，我去看了下最近的CPU记录，如下图



之前是CPU占用100%，直接宕机，当时还是无法连接，我用另一台主机扫描这台服务器，发现了几个未知的端口，



之后再次重启，便可以的登录了，于是我设置了一下安全组，关掉了了这几个端口。

本以为问题就这么结束了

我再次ssh登录时，输入命令执行变得非常慢，有时候直接卡死

我执行cd / 后，看到根目录产生了几个异常文件，如下图



通过cmd.n文件 可以看到 此命令关掉了我的防火墙，

然后从一个服务器下载了expl文件并执行，后来证明为linux backdoor gates5

于是我直接将它们删除，当时还没意识到感染很严重。

后来我在/root目录里陆续发现了一些异常文件，我下载了clamav这款杀毒软件，全盘杀了一次毒，卡顿的问题解决。

于是我在全盘搜索了一下 find / -name conf.n

发现在好几个目录里都存在着个文件，还看到一个.getty的文件

我去网上搜索了一下这个文件，发现这就是linux backdoor gates5导致的

我的服务器已经变成黑客的肉鸡，被植入了DDOS程序。

还有那个conf.n文件是无法删除的，一删除立即会出现

我之前还用过top命令查看过谁占用的进程，

其实这根本没事因为

ps top这些命令早就本替换掉

通过 ll /bin/ps

查看大小，也证实了这一点

文件大于1M。

如果进行彻底的清理 将会非常麻烦 我在杀过毒后问题已经不大，但我然担心还会出现问题，于是备份数据重装系统。

总结

最近Wordpress爆出越权漏洞，我又没有升级，从而导致了这次事件的发生，又想起了Wordpress上的评论，

可能那就是源头，也不一定是吧，如果那条评论我没通过，

可能还会发生今天的事，通过这次事件，我也明白了服务器安全的重要性

以下是几点防护措施

1，修改ssh的默认端口

2，禁止root账号登陆

3，新建一个账号(不要用admin之类容易猜到的账号，并设置一个复杂的密码)并让其可以sudo su成root

4，用DenyHosts防止暴力破解将对方尝试破解的ip拒绝掉

5，mysql只允许自己登陆，禁掉其它