Абуза от Хецнера

152

nezabor

11 января 2014, 16:02

932

Поступила сегодня абуза

Register Court: Registergericht Ansbach, HRB 3204
Management Board: Dipl. Ing. (FH) Martin Hetzner
Chairwoman of the Supervisory Board: Diana Rothhan

----- attachment -----

Direction OUT
Internal 188.40.170.(скрыл)
Threshold Packets 100.000 packets/s
Sum 31.660.000 packets/300s (105.533 packets/s), 52 flows/300s (0 flows/s), 1,179 GByte/300s (32 MBit/s)
External 199.182.236.62, 11.215.000 packets/300s (37.383 packets/s), 2 flows/300s (0 flows/s), 0,418 GByte/300s (11 MBit/s)
External 192.99.24.201, 11.155.000 packets/300s (37.183 packets/s), 46 flows/300s (0 flows/s), 0,416 GByte/300s (11 MBit/s)
External 109.163.232.166, 9.287.000 packets/300s (30.956 packets/s), 1 flows/300s (0 flows/s), 0,346 GByte/300s (9 MBit/s)
External 87.250.250.89, 3.000 packets/300s (10 packets/s), 3 flows/300s (0 flows/s), 0,000 GByte/300s (0 MBit/s)

правильно ли я понял что ругаются на то что от меня идет большой трафик

Чудес не бывает...

143

seocore

11 января 2014, 16:23

#1

nezabor:
правильно ли я понял что ругаются на то что от меня идет большой трафик

правильно понимаете, скорее всего это syn-флуд, объем весьма хороший - 105.533 packets/s (так как 32Мбита в пересчете на 105к пакетов = 40 байтные пакетики)

Инструменты для веб-мастера: кластеризатор СЯ (https://goo.gl/MQWfqO), все запросы конкурента (https://goo.gl/hd5uHS), дешевые XML-лимиты (https://goo.gl/aDZbPI)

152

nezabor

11 января 2014, 17:05

#2

seocore, а где бы его поискать на vps-ке?

---------- Добавлено 11.01.2014 в 21:26 ----------

seocore, да не, походу спам рассылался

ща вот ищу как и чем слали

---------- Добавлено 11.01.2014 в 21:28 ----------

в логах крона вот такое

Jan 11 12:33:02 bx CROND[23202]: (root) CMD (killall -9 node24)
Jan 11 12:33:02 bx CROND[23203]: (root) CMD (chmod 7777 /etc/ksapd)
Jan 11 12:33:02 bx CROND[23204]: (root) CMD (chmod 7777 /etc/atdd)
Jan 11 12:33:02 bx CROND[23205]: (root) CMD (cd /etc;rm -rf dir sksapd.*)
Jan 11 12:33:02 bx CROND[23206]: (root) CMD (killall -9 nfsd4)
Jan 11 12:33:02 bx CROND[23207]: (root) CMD (killall -9 32)
Jan 11 12:33:02 bx CROND[23208]: (root) CMD (cd /etc;rm -rf dir kysapd.*)
Jan 11 12:33:02 bx CROND[23209]: (root) CMD (cd /etc;rm -rf dir skysapd.*)
Jan 11 12:33:02 bx CROND[23210]: (root) CMD (killall -9 new6)
Jan 11 12:33:02 bx CROND[23211]: (root) CMD (killall -9 nfsd)
Jan 11 12:33:02 bx CROND[23212]: (root) CMD (cd /etc;rm -rf dir ksapd.*)
Jan 11 12:33:02 bx CROND[23213]: (root) CMD (killall -9 DDosl)
Jan 11 12:33:02 bx CROND[23214]: (root) CMD (killall -9 64)
Jan 11 12:33:02 bx CROND[23215]: (root) CMD (killall -9 lengchao32)
Jan 11 12:33:02 bx CROND[23173]: (root) CMD (/root/bitrix-env/xmppd.sh)
Jan 11 12:33:02 bx CROND[23216]: (root) CMD (cd /var/log > yum.log )
Jan 11 12:33:02 bx CROND[23217]: (root) CMD (cd /var/log > lastlog)
Jan 11 12:33:02 bx CROND[23218]: (root) CMD (killall -9 codelove)
Jan 11 12:33:02 bx CROND[23219]: (root) CMD (killall -9 .IptabLes)
Jan 11 12:33:02 bx CROND[23220]: (root) CMD (cd /etc;rm -rf dir xfsdx.*)
Jan 11 12:33:02 bx CROND[23221]: (root) CMD (chmod 7777 /etc/skysapd)
Jan 11 12:33:02 bx CROND[23222]: (root) CMD (killall -9 freeBSD)
Jan 11 12:33:02 bx CROND[23223]: (root) CMD (chmod 7777 /etc/xfsdx)
Jan 11 12:33:02 bx CROND[23224]: (root) CMD (cd /var/log > cups )
Jan 11 12:33:02 bx CROND[23225]: (root) CMD (cd /var/log > wtmp)
Jan 11 12:33:02 bx CROND[23226]: (root) CMD (cd /var/log > alternatives.log )
Jan 11 12:33:02 bx CROND[23227]: (root) CMD (/root/bitrix-env/smtpd.sh)
Jan 11 12:33:02 bx CROND[23228]: (root) CMD (killall -9 profild.key)
Jan 11 12:33:02 bx CROND[23229]: (root) CMD (echo "unset MAILCHECK" >> /etc/profile)

Для не жадных... Подкиньте Работа с РСЯ для Аукцион. Пакет из 500

L

132

Logger

11 января 2014, 17:42

#3

наверно взломали сервер - недавно такое было у меня

запускали файл у меня левый .IptabLes

поищи такой

делал реинсталл

или разреши доступ к ssh только со своего ip

от корня

find . -name ".Ipta*" > 1.txt

Контакты-icq 535609 ()

152

nezabor

11 января 2014, 17:49

#4

Logger:
от корня
find . -name ".Ipta*" > 1.txt

нету, да и доступ у мну есть

а вот они еще и битрикс на этой vps убили в труху

---------- Добавлено 11.01.2014 в 22:01 ----------

sendmail остановил

вот нашел не отправленную почту

http://pkp.3dn.ru/files/root.txt

143

seocore

11 января 2014, 23:57

#5

nezabor:
seocore, а где бы его поискать на vps-ке?

учитывая приведенный крон лог и это безобразие от root пользователя, я бы посоветовал срочно забэкапить сайты и реинсталлить ВПСку, а на будущее - вовремя/регулярно обновлять ПО

73

vlad11

14 января 2014, 16:59

#6

Угу, от рута работали.

Администрирование Linux и FreeBSD. Настройка BGP. (/ru/forum/744772)

Вышел новый Яндекс Браузер с YandexGPT и YandexART

Все что нужно знать о DDоS-атаках грамотному менеджеру