主页 / server / 问题 / 417310
Accepted
ananthan
Asked: 2012-08-15 02:06:17 +0800 CST

负载太高，包括 iptables 在内的许多文件丢失：我的服务器是否受到攻击？

  • 772

我的服务器在 400 左右及以上负载很重。这是服务器故障问题的链接

我能够在顶部输出中看到rm命令和xargs运行，其中我是唯一登录的用户。

我试图杀死那个过程，但那没有用。

我试图编写一个 iptables 规则来制定默认策略以删除并仅允许我的 IP 进行通信，但在此之前 iptables 丢失了。我再次安装它但它显示：

致命：无法加载/lib/modules/2.6.32-5-vserver-amd64/modules.dep：没有这样的文件或目录 iptables v1.4.14：无法初始化 iptables 表`filter'：表不存在（做你需要 insmod？）也许 iptables 或你的内核需要升级。

当我试图关闭服务器时，我收到了超时消息。重启也没用。

负载下降后，我执行了 chrootkit 扫描，结果如下。它显示了许多丢失的模块和隐藏文件。

Searching for suspicious files and dirs, it may take a while... The
following suspicious files and directories were found:
/usr/lib/pymodules/python2.6/.path /usr/lib/pymodules/python2.7/.path
/usr/lib/node_modules/npm/.npmignore
/usr/lib/node_modules/npm/.travis.yml
/usr/lib/node_modules/npm/node_modules/fast-list/.npmignore
/usr/lib/node_modules/npm/node_modules/fast-list/.travis.yml
/usr/lib/node_modules/npm/node_modules/fstream/.npmignore
/usr/lib/node_modules/npm/node_modules/fstream/.travis.yml
/usr/lib/node_modules/npm/node_modules/graceful-fs/.npmignore
/usr/lib/node_modules/npm/node_modules/lru-cache/.npmignore
/usr/lib/node_modules/npm/node_modules/minimatch/.travis.yml
/usr/lib/node_modules/npm/node_modules/node-uuid/.npmignore
/usr/lib/node_modules/npm/node_modules/nopt/.npmignore
/usr/lib/node_modules/npm/node_modules/slide/.npmignore
/usr/lib/node_modules/npm/node_modules/tar/.npmignore
/usr/lib/node_modules/npm/node_modules/tar/.travis.yml
/usr/lib/node_modules/npm/node_modules/.bin
/usr/lib/node_modules/npm/test/packages/npm-test-files/.npmignore
/usr/lib/node_modules/npm/test/packages/npm-test-ignore/.npmignore
/usr/lib/node_modules/npm/node_modules/.bin

正在检查 ‘lkm’...您为 readdir 命令隐藏了 3086 个进程 SIGINVISIBLE Adore 发现 chkproc：警告：可能安装了 LKM 特洛伊木马

我是否需要进一步调查以确认这是一次攻击？

我如何获得有关攻击者进入方式的详细信息？

linux

1 个回答

  1. Best Answer

    chkrootkit 似乎不喜欢您的 Node.js 安装，因为它有大量隐藏文件。不过，对于我来说，其中大多数对于 Node 安装来说看起来很正常。Python 的看起来不正常，但这可能只是因为您使用的是 Debian。检查那些。

    至于 iptables 问题，您只能受 VPS 供应商的摆布。由于 OpenVZ 和 Linux-VServer 使用共享内核，如果提供商为您加载它，您只能使用 iptables。特别是，Linux-VServer 对来宾容器中的 iptables 的支持非常有限或不支持。

    我希望到现在为止，您已经摆脱了您之前使用的那个糟糕的基于 OpenVZ 的 VPS。这肯定是您遇到的所有问题的根本原因。

    • 0

相关问题