Назад | Перейти на главную страницу

Запретить подключение к определенному имени хоста и от него в Ubuntu / Apache2

Мой сервер Wordpress EC2, вероятно, был взломан. При беге iftop Я вижу, что мой сервер отправляет и получает данные с имени хоста «i157panamamails.com».

Это имя хоста никогда не исчезает и потребляет много трафика. Я хочу запретить серверу связываться с этим именем хоста и полностью его запретить. Я попробовал поставить deny from в .htaccess и перезапустите сервер Apache2 (используя Ubuntu 10.0), но это не помогло, я все еще вижу, что соединение с именем хоста активно. Возможно, соединение не от Apache2, но насколько я знаю, это единственный установленный сервер.

Как я могу запретить серверу отклонять это имя хоста?

Больше информации:

Обновить: Я узнал IP и заблокировал его в IPtables (как OUTPUT, так и INPUT). IP-сервер не отправляет данные на этот IP-адрес, но он получает 240 байтов каждую секунду или около того.

Вы должны попробовать iptables для быстрого исправления.

iptables -A OUTPUT -d 202.54.1.22 -j DROP

@видеть http://www.cyberciti.biz/tips/linux-iptables-6-how-to-block-outgoing-access-to-selectedspecific-ip-address.html

В EC2, если вы работаете в VPC, вы можете редактировать свой ACL на лету и заблокировать этот IP.

Однако, если вас действительно взломали, это только первый шаг. Взгляните на процесс, который выполняет эти подключения, lsof поможет, выясните, почему он запущен и кто его установил, и при необходимости удалите его с вашего компьютера.

Второй шаг - усилить вашу безопасность: - обновите wordpress до последней версии; для этой платформы есть несколько популярных эксплойтов - изменить все пароли IAM и основной учетной записи - повернуть все ключи доступа aws и ключи ssh - убедиться, что вы не можете использовать ssh с паролями - если возможно, разрешите ssh только с определенных IP-адресов через группы безопасности

Хорошо, во-первых, вы можете запустить tcpdump на своем сервере для анализа трафика. 

tcpdump -s 65535 -w ~/traffic_capture.pcap

Затем вы можете прочитать из этого файла с помощью команды:

tcpdump -vv -r ~/traffic_capture.pcap

или загрузите его на свой компьютер и проверьте с помощью wirehark.

Также вы можете использовать iptables для регистрации всего вашего исходящего трафика (вот правило):

iptables -A OUTPUT -j LOG

По умолчанию журнал этого трафика будет в /var/log/kern.log.

Также вы можете запустить iftop с флагом -n, который предотвратит выполнение iftop поиска имени хоста.

Цитата из manpages iftop:

   By  default, iftop will look up the hostnames associated with addresses
   it finds in packets. This can cause substantial traffic of itself,  and
   may  result in a confusing display. You may wish to suppress display of
   DNS traffic by using filter code such as not port domain, or switch  it
   off  entirely, by using the -n option or by pressing r when the program
   is running.

Если вы уверены, что у вас есть какая-то оболочка или вредоносное ПО, вы можете попробовать использовать maldet или ai-bolit для проверки на наличие вредоносных программ в каталогах apache.

Это может быть исходящее соединение, а не входящее. Проверьте активность ниже:

  1. Верхняя команда. Возможно, вы захотите остановить другие службы, чтобы было более очевидно, какой процесс использует ЦП.
  2. Ping i157panamamails.com и посмотрите, может ли он разрешить IP-адрес вашего сервера. Если это так, заблокируйте его на iptables.
  3. Заблокируйте все исходящие подключения в своей группе безопасности AWS, если исходящие подключения не нужны.

Помимо этих мер реагирования, я также рекомендую вам установить программное обеспечение для обнаружения вторжений на основе хоста, такое как OSSEC, для обнаружения несанкционированного доступа и изменений в вашей системе.