13
如何处理受到感染的服务器？
这是关于服务器安全性的规范问题 -响应违规事件（黑客攻击）， 另请参见： 保护LAMP服务器的提示 彻底破坏根源后重新安装？ 规范版本 我怀疑我的一台或多台服务器受到黑客，病毒或其他机制的破坏： 我的第一步是什么？当我到达现场时，应该断开服务器的连接，保留“证据”，还有其他初始注意事项吗？ 如何使服务恢复在线？ 如何防止同一件事再次发生？ 是否有最佳实践或方法可用于从此事件中学习？ 如果我想将突发事件响应计划放在一起，该从哪里开始呢？这应该是我的灾难恢复或业务连续性计划的一部分吗？ 原始版本 2011.01.02-我周日晚上9.30上班，因为我们的服务器已经受到某种程度的破坏，并导致对我们的提供程序的 DOS攻击。服务器对Internet的访问已关闭，这意味着我们有超过5-600个客户站点已关闭。现在，这可能是FTP hack或某个地方的代码弱点。我不确定直到到达那里。 如何快速追踪？如果我不尽快备份服务器，我们将进行大量诉讼。任何帮助表示赞赏。我们正在运行Open SUSE 11.0。 2011.01.03-感谢大家的帮助。幸运的是，我不是唯一负责此服务器的人员，最近的人。我们设法解决了这个问题，尽管它可能不适用于其他情况下的许多其他问题。我将详细说明我们的工作。 我们从网络上拔掉了服务器。它正在对印度尼西亚的另一台服务器进行（试图执行）拒绝服务攻击，并且有罪的一方也在那里。 考虑到我们服务器上有500多个站点，我们首先尝试确定这是从哪里来的服务器，我们希望在一段时间内会变得越来越亮。但是，在仍然使用SSH访问的情况下，我们运行了一条命令，以查找攻击开始时编辑或创建的所有文件。幸运的是，有问题的文件是在寒假期间创建的，这意味着当时在服务器上没有创建太多其他文件。 然后，我们可以识别出有问题的文件，该文件位于ZenCart网站的上载图像文件夹中。 短暂抽烟后，我们得出结论，由于文件的位置，该文件必须已通过不适当保护的文件上传工具进行了上传。经过一番谷歌搜索后，我们发现存在一个安全漏洞，该漏洞允许在ZenCart管理面板中上传文件以录制唱片公司的照片。（它从未真正使用过的部分），发布此表单只是上传了任何文件，它没有检查文件的扩展名，甚至没有检查用户是否已登录。 这意味着可以上传任何文件，包括用于攻击的PHP文件。我们在受感染的站点上使用ZenCart修复了该漏洞，并删除了有问题的文件。 这项工作完成了，我早上2点回到家 道德问题 –始终为此应用ZenCart或任何其他CMS系统的安全补丁。在发布安全更新时，全世界都已意识到该漏洞。-始终进行备份，并备份您的备份。-雇用或安排在这样的时间出现的人。为了防止任何人依赖于Server Fault上的紧急情况。