遭受DDOS入侵后的VPS急救與數(shù)據(jù)恢復(fù)
一次遭受DDOS入侵后的VPS急救與數(shù)據(jù)恢復(fù)
本站原創(chuàng) [基于 署名-非商業(yè)使用-相同方式分享 2.5 協(xié)議，轉(zhuǎn)載須注明鏈接]
對(duì)于使用VPS服務(wù)的人來(lái)說(shuō)，數(shù)據(jù)就是生命。除了日常進(jìn)行數(shù)據(jù)備份外，掌握一些數(shù)據(jù)搶救的方法，也能在很大程度上減少損失。
本人某一臺(tái)VPS在不久前受到了DDOS攻擊，隨后馬上收到來(lái)自DNSPOD的報(bào)警短信。VPS服務(wù)提供商在幾分鐘內(nèi)將IP進(jìn)行了null空路由。
Your server was suspended due to high ddos attack on the host node and it affected our host node performance heavily.
Our upstream engineers have null routed your server IP address to bring back the host node stable.
As it is related to the performance issue on our host node we cant do anything for the next 24 hours. If the connections to the server gets compromised then we would unsuspend it for you.
Please get back to us with the reason for this DDOS attack .
Thanks.
由于這臺(tái)機(jī)器并沒(méi)有運(yùn)行可能受到攻擊的服務(wù)，僅僅是作為一臺(tái)后端備份服務(wù)器，實(shí)在找不到受到攻擊的理由。。。郁悶。。隨后，立即通過(guò)SolusVM的VNC控制臺(tái)登陸服務(wù)器，花了幾個(gè)小時(shí)，也均沒(méi)有發(fā)現(xiàn)任何受到攻擊的跡象。由于服務(wù)器已經(jīng)與整個(gè)網(wǎng)絡(luò)斷開(kāi)連接，因此也無(wú)法下載chkrootkit等工具。
繼續(xù)與VPS服務(wù)提供商溝通，要求打開(kāi)網(wǎng)絡(luò)取消空路由。得到的答復(fù)是，在恢復(fù)網(wǎng)絡(luò)后幾分鐘內(nèi)，繼續(xù)出現(xiàn)“DDOS”的情況。這時(shí)我差不多明白了，可能是這臺(tái)服務(wù)器被入侵，向其它網(wǎng)絡(luò)進(jìn)行DDOS攻擊，而不是被其它網(wǎng)絡(luò)DDOS。
繼續(xù)向VPS進(jìn)一步詢問(wèn)，果然如此?，F(xiàn)在首當(dāng)其沖的任務(wù)是取回?cái)?shù)據(jù)。只要取回?cái)?shù)據(jù)，什么事情都好辦（大不了Reinstall）。
重啟機(jī)器，在Grub中的啟動(dòng)命令行中加入?yún)?shù)“single”，以單用戶模式啟動(dòng)Linux。進(jìn)行了一些檢查，同時(shí)重設(shè)了iptables防火墻，將所有的入站INPUT禁止掉，允許部分出站鏈接。
重啟機(jī)器，發(fā)Ticket，再次要求Unull IP。此時(shí)已經(jīng)過(guò)去了40多個(gè)小時(shí)（VPS提供商會(huì)在出現(xiàn)DDOS的情況后無(wú)條件禁用你的網(wǎng)絡(luò)至少24小時(shí)?。。。?/p>
隨后又得到回復(fù)，告知DDOS在連接網(wǎng)絡(luò)后依然存在。登陸VNC，檢查iptables，發(fā)現(xiàn)iptables已經(jīng)down掉。看來(lái)這臺(tái)肉雞已經(jīng)淪陷不淺。無(wú)解。
這時(shí)，由于沒(méi)找到入侵的途徑，整個(gè)系統(tǒng)也因?yàn)槿肭肿兊貌豢尚牛虼巳』財(cái)?shù)據(jù)、重裝系統(tǒng)便成了最好的解決方案。但是由于無(wú)法聯(lián)網(wǎng)，而一旦聯(lián)網(wǎng)，系統(tǒng)又會(huì)立即被null IP，所以如何在能夠取回?cái)?shù)據(jù)的情況下重裝系統(tǒng)，是需要馬上解決的難題。
這時(shí)，突然想到了VPS提供商提供了一些其它的CD-ROM（如Gparted、Rescue CD），可以啟動(dòng)其它的系統(tǒng)，然后取出數(shù)據(jù)。
于是立即引導(dǎo)到了一個(gè)Linux急救系統(tǒng)下，把所有需要備份的數(shù)據(jù)打包。設(shè)置好網(wǎng)絡(luò)。向VPS提供商發(fā)個(gè)Ticket，要求unnull IP。
執(zhí)行
scp -P 9999 ~/backup.tar.gz [email protected]:/root/backup/
得到數(shù)據(jù)。立即重裝系統(tǒng)。搞定。
至于分析之前受到入侵系統(tǒng)的日志，是后來(lái)的事了。
本文轉(zhuǎn)自 xxl714 51CTO博客，原文鏈接：http://blog.51cto.com/dreamgirl1314/978559，如需轉(zhuǎn)載請(qǐng)自行聯(lián)系原作者