LINUX.ORG.RU
Форум — Admin  

Помогите найти причину portscan


0

1

Сабж, хостер прислал письмо, что мой сервер ддосит, приложил инфу: 

##########################################################################
#              Portscan detected from host  ip my server            #
##########################################################################

time                protocol src_ip src_port          dest_ip dest_port
---------------------------------------------------------------------------
Fri Nov  7 06:50:03 2014 TCP     my ip server 1111  =>     9.125.252.5 36172
Fri Nov  7 06:50:03 2014 TCP     my ip server 1111  =>     9.125.252.5 3816 
...............
Fri Nov  7 06:49:21 2014 TCP     my ip server 1165  =>     9.125.252.5 
...................



Последнее исправление: mrxk (всего исправлений: 1)
← Не применяются правила IPTABLES
непонятки с RAID mdadm →

Причина, явно, какая-нибудь дырка в web-скриптах. А искать её можно долго. Допустим, сначала tcpdump'ом или логированием исходящих tcp-syn пакетов в iptables посмотрите, идёт ли DOS в данный момент и на какие ip-адреса, потом по выводу ″netstat -t -n -p″, и посмотрите какой процесс пытается попасть на эти адреса. Если на каждый коннект форкается отдельный процесс, запускайте ″netstat″ и ″ps″ вместе, перенаправив вывод в файл, тогда есть шанс, что будет виден и pid процесса в netstat и другая информация по нему в выводе ps.

Ну это всё при условии, что сервер сломали не полностью, что root'а там ещё не получили и руткит не поставили.

mky ★★★★★
()

Если крутится говноCMS, то можно посканить этой хренью http://revisium.com/ai/ Хоть она и не фонтан, то самые растпространенные бекдоры ищет.

iron ★★★★★
()
Ответ на: комментарий от mrxk

вротпресс, жумлу и дурпал он подразумевает, но ещё он забыл про вебмин и испманагер, которые тоже вполне себе дырявы, и их владельцам пофиг на безопасность

dr-yay ★★
()
Ответ на: комментарий от mrxk

ну вот тебе и две дыры, сноси всю операционку и устанавливай всё начисто, не вздумай старые сайты копировать в новую ос, только с нуля+данные из бекапа субд. Испманагер сразу в печь, ос и цмску обновляй своевременно.

dr-yay ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Не применяются правила IPTABLES
Admin
непонятки с RAID mdadm →