服务器遭黑客入侵导致网络流量异常的排查分析
2012-06-28 20:18:24   来源：我爱运维网   评论：0 点击：

查证攻击源来自广州、ip有多个(估计是ADSL)

被攻击原因分析：
1、无杀毒软件，
2、无日志收集，
3、弱口令,
4、外网IP、135 445端口对外开放、（攻击者可通过135端口避过ACL控制枚举尝试密码，从其中一个机器的日志反应12年1月至2月被频繁尝试密码）
日志中有很EVERYONE的访问，为了建立IPC空链接留下的日志，成功建立之后开启了telnet服务。种植木马、安装shift后门、更改终端端口为55555绕过ACL，

 

之前遇到过跨IDC无法连接135端口(冲击波事件之后骨干网都对135 445端口做了屏蔽)、但是有部分地方的IP是可以正常访问，随便在外面拿了一个机器就可以访问到部分该机房的135端口：

 

攻击后攻击者的行踪：
1、攻击者成功进入后并没有通过这两个机器去直接攻击其他服务器；
2、攻击者成功进入后主要是在发udp包也就是对其他机器拒绝服务、耗费我们大量宽带资源；
3、攻击留下的部分工具看来、对内网不了解，使用其中的一个服务器对外面IDC(不是我们的)扫描弱口令，数据库弱口令等。

后续此被攻击IDC机房的windows机器需要加固：

1、推送本地策略(包含内容 密码长度要求13位以上、密码复杂性、密码有效期为3个月)、关闭默认共享；
2、密码全部改，(要求13位以上必须包含大小写字母，数字及特殊字符)；
3、所有windows必须安装杀毒软件；
4、所有windows必须远程备份日志；
5、启用IPSEC对进出的端口做全面限制；
6、如果没有必要使用私网网段的IP，尽量不使用公网IP，(或单独划一个VLAN)；

其他：
1、其他服务器root密码为默认密码的有必要尽快改掉；
2、所有空闲预留备用的服务器也需要纳入监控。