有人正在从我的电脑上传内容

Question

这似乎可能属于信息安全，但这里首先要看看“你如何知道”以及你是否被攻击了。

一些观察：

43.250.83.106 位于孟加拉国 (附近)
70.24.39.90 位于北美（加拿大）
115.28.112.60 为亚太地区（中国），无入站流量
低端口号（低于操作系统的临时限制）是特权端口，通常不需要出站。
虽然端口扫描可以解释最后一组（单一来源：IP），但没有证据表明它是入站会话，并且 RST（响应扫描）大约为 50 字节（而不是 172）。

要确定是否有可能存在 C2（位于前两个地址）后跟快速打开出站端口序列（每个端口发送约 172 个字节，关闭时没有明显响应），您必须重新连接系统并开始捕获数据包。不要这样做。

如果您要保留它/不备份等：

查看外部防火墙日志，或捕获系统外的数据包，看看它是否仍在尝试联系。它也可能正在向您的网络发送数据包。这可能就像 DNS 或 ICMP 出站一样简单，以避免暴露 C2。
在主机本身，你可以尝试几件事：
- 首先考虑你的工具是否被覆盖或挂载。为此，你可以尝试获取静态链接的二进制文件/使自己（并保存在只读媒体上），或者使用忙碌箱
- “netstat -p”通常只有在提升权限的情况下才有效（您在调查时肯定已经提升了权限，因此这不会带来额外的风险）。
- “lsof -i4” 将显示进程 + IPv4 连接（-i6 表示 IPv6）。
- 取消隐藏将 /proc 与 'ps' 进行比较，尝试系统调用，执行 pid 暴力破解、反向线程搜索，还可以显示 netstat 看不到的端口。
- ss -ap（进程 + 套接字）
- rkhunter、chkrootkit（rootkit 检查器）
- 检查是否有任何东西在奇怪的地方运行（例如 tmp 文件夹）
- 检查常驻脚本（perl、python 等）

其他工具：

lsmod 应该显示内核模块
auditd（如果您的发行版添加了它）应该可以让您监控奇怪的系统调用和故障。
tcpdump（捕获网络流量）
检查每个用户的历史文件（包括 /root 和 /home/*），例如 .bash_history、.lesshst、.mysql_history 等。
检查 /proc/filesystems 和任何您未安装的 ck* 文件系统。用户空间 (FUSE) 中的文件系统可能隐藏了临时区域。

预防再次发生是一个与所发生事件相关的复杂而复杂的答案。防火墙 (iptables)、IDS/IPS (snort)、禁用不必要的服务、审核 wget/curl/脚本语言访问、审核放在奇怪位置（主文件夹、临时文件夹）的可执行文件、文件完整性监控等都是不错的选择。SELinux（AppArmor 在其他系统上类似）往往需要大量工作，但也很有用。

Answer 1