আমি কয়েক বছর ধরে ওকেনোস সার্ভিসে ভার্চুয়াল মেশিনে একটি ছাত্র দলের জন্য একটি (সম্পূর্ণ আপডেট হওয়া) ওয়ার্ডপ্রেস বজায় রাখি। আজ, হেল্পডেস্ক আমাকে জানিয়েছে যে আমি ডিডিওএস আক্রমণ চালাচ্ছি, যা - অবশ্যই - আমি নই (এই পরিষেবাদিতে আমার একাডেমিক শংসাপত্র যুক্ত আছে ..)। তারা মেশিনটি স্থগিত করার পরে এবং আমি তাদের মেইলিং সিস্টেমে জ্বলে ওঠার পরে আমি কী ঘটেছে তা জানার চেষ্টা করেছি।
প্রথমত, আমি ps -ejকী চলছে তা যাচাই করার জন্য একটি চালাচ্ছি:
root@snf-25181:~# ps -ej
1545 1545 1545 ? 00:00:00 console-kit-dae
1618 1057 1057 ? 00:00:00 gdm-session-wor
1632 1632 1632 ? 00:01:40 rghuoywvrf
1767 1767 1767 ? 00:00:00 sshd
1769 1769 1769 ? 00:00:00 systemd
1770 1769 1769 ? 00:00:00 (sd-pam)
1775 1767 1767 ? 00:00:00 sshd
1776 1776 1776 pts/0 00:00:00 bash
1849 1849 1776 pts/0 00:00:00 su
1870 1870 1776 pts/0 00:00:00 bash
2246 0 0 ? 00:00:00 kworker/0:0
2797 839 839 ? 00:00:00 apache2
3158 3158 3158 ? 00:00:00 bvxktwwnsb
3162 3162 3162 ? 00:00:00 bvxktwwnsb
3163 3163 3163 ? 00:00:00 bvxktwwnsb
3164 3164 3164 ? 00:00:00 bvxktwwnsb
3165 3165 1776 pts/0 00:00:00 ps
Bvxktwwnsb এবং rguoywvrf লক্ষ্য করুন
তারপরে আমি ps auxপরিষেবাগুলি (আবার, একটি পুচ্ছ) পেতে একটি করেছি:
Debian-+ 1629 0.0 0.0 178300 4444 ? Sl 16:53 0:00 /usr/lib/dconf/dconf-service
root 1667 0.0 0.0 30744 4436 ? Ss 16:53 0:00 /sbin/wpa_supplicant -u -s -O /run/wpa_supplicant
root 1670 0.0 0.1 299588 9884 ? Ssl 16:53 0:00 /usr/lib/packagekit/packagekitd
root 1674 0.0 0.1 1055004 6168 ? Ssl 16:53 0:00 /usr/sbin/console-kit-daemon --no-daemon
www-data 1923 0.0 0.1 240964 8112 ? S 16:53 0:00 /usr/sbin/apache2 -k start
pankgeo+ 5656 0.0 0.0 27416 3424 ? Ss 17:03 0:00 /lib/systemd/systemd --user
pankgeo+ 5657 0.0 0.0 143108 2408 ? S 17:03 0:00 (sd-pam)
root 5893 0.0 0.1 102420 6428 ? Ss 17:04 0:00 sshd: pankgeorg [priv]
pankgeo+ 5904 0.1 0.0 102560 4128 ? S 17:04 0:02 sshd: pankgeorg@pts/0
pankgeo+ 5905 0.2 0.1 16816 6388 pts/0 Ss+ 17:04 0:04 -bash
root 7443 0.0 0.1 102420 6496 ? Ss 17:07 0:00 sshd: pankgeorg [priv]
pankgeo+ 7448 0.0 0.0 102552 4160 ? S 17:07 0:00 sshd: pankgeorg@pts/1
pankgeo+ 7449 0.0 0.1 16468 6228 pts/1 Ss+ 17:07 0:01 -bash
root 17351 0.0 0.0 0 0 ? S 17:15 0:00 [kworker/0:0]
root 18446 0.0 0.0 0 0 ? S 17:18 0:00 [kworker/0:2]
root 18488 0.1 0.0 0 0 ? S 17:18 0:01 [kworker/1:1]
root 22680 1.5 0.0 0 0 ? S 17:28 0:08 [kworker/1:0]
root 24173 0.0 0.1 102420 6416 ? Ss 17:31 0:00 sshd: pankgeorg [priv]
pankgeo+ 24181 0.3 0.0 102420 3360 ? S 17:31 0:01 sshd: pankgeorg@pts/2
pankgeo+ 24182 0.0 0.0 16480 6112 pts/2 Ss 17:31 0:00 -bash
root 25316 2.3 0.0 0 0 ? S 17:33 0:06 [kworker/1:2]
root 26777 0.0 0.0 0 0 ? S 17:35 0:00 [kworker/0:1]
root 26778 0.0 0.0 0 0 ? S 17:35 0:00 [kworker/0:3]
root 27300 0.0 0.0 1424 1040 ? Ss 17:38 0:00 cat resolv.conf #note
root 27306 0.0 0.0 1424 1036 ? Ss 17:38 0:00 gnome-terminal #from
root 27307 0.0 0.0 1424 1036 ? Ss 17:38 0:00 ifconfig eth0 #here
root 27308 0.0 0.0 1424 1040 ? Ss 17:38 0:00 id #(DDOS?)
root 27309 0.0 0.0 1424 1040 ? Ss 17:38 0:00 ifconfig
pankgeo+ 27315 0.0 0.0 11136 2044 pts/2 R+ 17:38 0:00 ps aux
আইটেমগুলি নোট করুন [-4: -1]। তারপরে আমি অনলাইনে খুঁজে পেয়েছি সুতরাং আমি এটি chkconfig --listচালাই এবং এটি পপআপ হয়ে গেল:
root@snf-25181:/home/pankgeorg# chkconfig --list
acdnfhruvx 0:off 1:off 2:off 3:off 4:off 5:off 6:off
flyymwddwn 0:off 1:off 2:off 3:off 4:off 5:off 6:off
1 থেকে 5 যেখানে onআমি কিন্তু তাদের ঘুরিয়েছি off। তারপরে আমি আবার শুরু করেছি এবং এটির নাম পরিবর্তন হয়েছে। তারপরে আমি locateডি acdnfhruvxএবং এই পপ আউট:
root@snf-25181:~# locate acdnfhruvx
/etc/init.d/acdnfhruvx
/etc/rc1.d/S01acdnfhruvx
/etc/rc2.d/S01acdnfhruvx
/etc/rc3.d/S01acdnfhruvx
/etc/rc4.d/S01acdnfhruvx
/etc/rc5.d/S01acdnfhruvx
এর মধ্যে একটির লিখিত সামগ্রী (এগুলি সব একই): root @ snf-25181: ~ # বিড়াল /etc/init.d/acdnfhruvx #! / বিন / এস
chkconfig: 12345 90 90
description: acdnfhruvx
BEGIN INIT INFO
Provides: acdnfhruvx
Required-Start:
Required-Stop:
Default-Start: 1 2 3 4 5
Default-Stop:
Short-Description: acdnfhruvx
END INIT INFO
case $1 in
start)
/bin/acdnfhruvx
;;
stop)
;;
*)
/bin/acdnfhruvx
;;
esac
এটি পুনরায় চালু করার পরে পাওয়া গেল, /bin/acdnfhruvxকোথাও ছিল না। পরে আমি এক্স (ELF ফর্ম্যাট) পেয়েছি /usr/bin(আমার মধ্যে মনে হয় যদি আপনার মধ্যে কোনও সাহসী মানুষ থাকে তবে আমি এটি ভাগ করতে পারি)
কমান্ডগুলির একটি বিস্তৃত তালিকা আমি দেখেছি যে মেশিনটি অরিজিনটি না জেনে চালাচ্ছে (ক্রমান্বয়ে ps -ejএস এবং ps auxএস থেকে:
root 27755 0.0 0.0 1424 1036 ? Ss 17:40 0:00 ifconfig
root 27759 0.0 0.0 1424 1036 ? Ss 17:40 0:00 who
root 27760 0.0 0.0 1424 1040 ? Ss 17:40 0:00 echo "find"
root 27761 0.0 0.0 1424 1036 ? Ss 17:40 0:00 top
root 27762 0.0 0.0 1424 1036 ? Ss 17:40 0:00 id
root 27805 0.0 0.0 1424 1036 ? Ss 17:40 0:00 gnome-terminal
root 27809 0.0 0.0 1424 1040 ? Ss 17:40 0:00 ifconfig
root 27810 0.0 0.0 1424 1044 ? Ss 17:40 0:00 sh
root 27811 0.0 0.0 1424 1040 ? Ss 17:40 0:00 sleep 1
root 27822 0.0 0.0 1424 1040 ? Ss 17:40 0:00 netstat -an
root 27826 0.0 0.0 1424 1036 ? Ss 17:40 0:00 top
root 27829 0.0 0.0 1424 1040 ? Ss 17:40 0:00 bash
root 27833 0.0 0.0 1424 1040 ? Ss 17:40 0:00 cd /etc
root 27834 0.0 0.0 1424 1040 ? Ss 17:40 0:00 whoami
root 27822 0.0 0.0 1424 1040 ? Ss 17:40 0:00 netstat -an
root 27826 0.0 0.0 1424 1036 ? Ss 17:40 0:00 top
root 27829 0.0 0.0 1424 1040 ? Ss 17:40 0:00 bash
root 27833 0.0 0.0 1424 1040 ? Ss 17:40 0:00 cd /etc
root 27834 0.0 0.0 1424 1040 ? Ss 17:40 0:00 whoami
pkillযেহেতু এটি সবসময় কাটাচামচ থেকে ফাইল মুছে ফেলার ING, অর্থহীন নয় /etc/init.d/এবং /{usr/,}binপুনর্সূচনা পরে একটি নতুন (অভিন্ন) এক্সিকিউটেবল সংস্করণ আছে যেহেতু এছাড়াও অর্থহীন নয়। এই সমস্ত তথ্যের পরেও, আমার দুটি প্রশ্ন রয়েছে: আমি কীভাবে সংক্রামিত হয়েছিল তা জানতে পারি? আমি কি এ থেকে মুক্তি পেতে পারি? তুমাকে অগ্রিম ধন্যবাদ!