本帖最后由 SSEC 于 2017-7-21 16:04 编辑
客户名称:南方某集团 事件类型:DOS攻击 问题主机情况描述:服务器存在异常进程,在不同的时间段内,间歇性对内网发包,导致网络变慢。 操作系统:linux Redhat 服务器用途:某管理系统 事件处理过程: 1. top命令排查服务器,发现此时cpu负载正常,查看异常服务器(虚拟机)中的bin目录,发现如ls、netstat等命令已经丢失(如下图)。
2. 网上下载对应的命令,复制到服务器中。
3. ps -ef查看进程,发现存在ttymon和ttyload这个进程,查询可知,正常服务器无此进程。 4. ls -al 查看这两个文件可知属于用户122,查询可知正常情况下服务器中不存在此文件。 5. find命令查找被黑客替换的文件find / -user 122 | xargs ls -l 6. 查看ircd服务,执行命令cat /etc/services | grep ircd 7. 查看占用6667的端口程序netstat -anp | grep 6667未发现占用该端口的程序netstat -anp查看开放的端口,发现ttyload这个恶意进程 8. 用正常的ifconfig、find、top命令替换被篡改的文件,将ttymon和ttyload的权限设置为000,之后kill 掉ttymon和ttyload进程即可。 |