☰

我的服务器上面临黑客活动

tag-icon • tag-icon ubuntu mysql php amazon-web-services
我的服务器上面临黑客活动

我最近将我的托管服务器切换到了 AWS。最初一切都运行良好，但最近我的服务器出现了问题，多次宕机。

我密切监视它并了解到 CPU 利用率多次达到 100%，并且每次我都需要重新启动我的实例。

所以我检查了访问日志和错误日志，似乎我的服务器上发生了一些黑客活动。请查看我的错误日志文件中的以下日志：

[Wed Sep 23 14:25:56.081268 2015] [:error] [pid 18791] [client 193.0.***.***:59940] script '/var/www/html/includes/custom.php' not found or unable to stat, referer: -1' OR 2+20-20-1=0+0+0+1 or 'Q2fRfUkq'='

[Wed Sep 23 14:25:56.122526 2015] [:error] [pid 18780] [client 193.0.***.***:59939] script '/var/www/html/includes/custom.php' not found or unable to stat, referer: @@EKtcl

[Wed Sep 23 14:25:56.365583 2015] [:error] [pid 18788] [client 193.0.***.***:59930] script '/var/www/html/includes/custom.php' not found or unable to stat, referer: -1" OR 2+392-392-1=0+0+0+1 --

[Wed Sep 23 14:25:56.663520 2015] [:error] [pid 18786] [client 193.0.***.***:59908] script '/var/www/html/includes/custom.php' not found or unable to stat, referer: if(now()=sysdate(),sleep(9),0)/*'XOR(if(now()=sysdate(),sleep(9),0))OR'"XOR(if(now()=sysdate(),sleep(9),0))OR"*/


[Wed Sep 23 14:25:56.994941 2015] [:error] [pid 18791] [client 193.0.***.***:59940] script '/var/www/html/includes/custom.php' not found or unable to stat, referer: (select(0)from(select(sleep(9)))v)/*'+(select(0)from(select(sleep(9)))v)+'"+(select(0)from(select(sleep(9)))v)+"*/

现在我可以看到它试图访问不存在的文件并添加 sql 注入，令人难以置信的是它正在工作，它使用我的 CPU 利用率达到 100%，而 mysql 服务在这里使用了 90%。

那么如何防止这种情况发生呢，请帮助我。

这里占用了 mysql 访问权限，所以才会发生这种情况？我们可以看到，没有任何可用的 custom.php，那么他们如何在服务器上运行 mysql 查询呢？

最重要的是黑客通过 curl 或 post script 进行黑客攻击，但根本没有使用我的机器。

答案1

鉴于此代码，它似乎是自动尝试 SQL 注入的常见模式。这就是为什么 CPU 的使用率很高。这并不意味着攻击在这个级别上是成功的。

您是否注意到您的数据库中的数据已损坏或者您是否注意到您的 php 应用程序有奇怪的行为？

为了避免这种情况：

  • 检查您的 php 应用程序中 sql 是如何在 php 代码中管理的。切勿允许 php 代码直接操作 SQL 命令。使用函数，并清理您的 url 和表单 POST。如果是这种情况，您可以放心。

  • 找到一种方法将此类活动列入黑名单。我的意思是，使用一种软件来检查您的日志并阻止 IP。例如，安装像 SNORT 这样的 IDS。

一个简单的解决方案是安装 artillery。这是一个简单的蜜罐，可以根据伪造的端口将自动尝试列入黑名单。你可以在以下网址找到一个不错的教程：https://www.digitalocean.com/community/tutorials/how-to-set-up-an-artillery-honeypot-on-an-ubuntu-vps以及位于https://github.com/trustedsec/artillery。我已经为一些客户使用了此解决方案，它有效且简单。

相关内容