我是不是遭遇到了PHPDDOS

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 4047 天前的主题，其中的信息可能已经有所发展或是发生改变。

一个VPS，常年每个月都跑不满200G流量流量的千分之一。上个月月底收到邮件警告说已经超过90%流量配额了，当时不以为然。

11月的第5天，我就被刷走了80G流量。

一直找不到到底是哪个PHP文件受到感染，有没有经验分享一下。

有没有V友对LINUX熟悉的，不知道两包烟钱能找出问题所在并且有解决方案不。

流量

有没有

受到感染

11 条回复 • 1970-01-01 08:00:00 +08:00

yangqi

2013-11-06 03:53:00 +08:00

你怎么知道就一定是php？也有可能某个文件被盗链，或者vps被黑，或者某些代理被扫到了

Sukizen

2013-11-06 03:57:15 +08:00

@yangqi 文件盗链的几率不大。 VPS被黑和被代理扫到有可能。
关键是我不懂服务器的东西 :D 我找了一天的资料，并且安装了iftop和安全狗，发现是UDP的流量很大，后来我禁止了fsockopen函数，好像好了点。

因为我的网站程序有用到DISCUZ，好像禁止了fsockopen函数会有影响。

现在考虑备份文件，然后重装系统。
但是如果文件里面感染了PHPDDOS的代码，应该要查找什么特征码呢？

夜深了，谢谢你的回复。

xmbaozi

2013-11-06 07:57:49 +08:00 via iPhone

网上有个python脚本，挺好用的，可以查一下看看

xdeng

2013-11-06 09:09:18 +08:00

DISCUZ 自带了文件校验的在后台。。。 UDP的基本可以确定是ddos了

AstroProfundis

2013-11-06 09:18:28 +08:00

你是不是装了dns服务器...

nsxuan

2013-11-06 09:36:02 +08:00 via iPad

查看文件修改时间
或者搜索 set_time_limit

thinkxen

2013-11-06 10:11:41 +08:00 via Android

看网站日志

ihacku

2013-11-06 10:35:44 +08:00

试试这个扫一下 https://github.com/cfc4n/pecker

Sukizen

2013-11-06 11:16:24 +08:00

@xmbaozi 好的我去找找

@xdeng 我已经禁止fsockopen函数，好像没那么厉害了。还用了iptable做了一些规则，不过完全是小白跟着网上的教程做，不知道原理是什么，不知道VPS还有其他漏洞不。

@AstroProfundis 是呀，kolox面板，之前有收过邮件警告说我的什么设置，会导致DNS递归攻击。估计是这个原因，但是那时也是在网上找教程作了一下修复。好像今个月并不管用。大约半年前开始，每个月的GB OUT都达到数十G甚至上百G，（我的VPS就放几个个人网站，正常才1GB不到）

@nsxuan 不知道有没有什么SHELL指令是可以搜索到的。我试过 find /home/admin/ | xargs grep set_time_limit // 但是很多PHP文件都会有这段代码，好像也没什么异常。

@ihacku 非常感谢你的链接！

AstroProfundis

2013-11-06 12:42:36 +08:00

@Sukizen 你从别的机器 dig 一个大网站的域名比如 Google 啥的，如果返回的是空或者无法查询就不是这个问题了，如果有结果的话，把 DNS 的递归查询关掉，或者只监听 127.1 或者用 iptables 把 UDP 53 端口封了

Sukizen

2013-11-06 18:08:39 +08:00

@yangqi
@xmbaozi
@xdeng
@AstroProfundis
@nsxuan
@thinkxen
@ihacku
@AstroProfundis

最新发现，是自己的一个限制很久很久的DISCUZ被注册大量用户，采集大量帖子（15万条以上）
是DISCUZ的漏洞吗？