服务器被黑好蛋疼 ...记录下随便求助

前言

首先服务器不是我运营的是个游戏网站，可能被竞争对手的弄了。。。然后我是服务器菜鸟一顿乱折腾，到现在也还没折腾好。

7 月 15 日傍晚

从阿里云日志来看流量异常是 7 月 15 号开始，网站被 dos ，服务器根目录出现大量未知缓冲文件。这是有个昵称 360 白帽子说网站有漏洞需要修复，上报了乌云没有通过审核（因为朋友没有去提交厂商认证？）然后直接找的朋友，并且提供了补丁文件，随后漏洞修复。然后用 360 服务器杀毒杀了几个木马。还是没办法访问。用 iftop 发现流量异常。朋友找我，让我看看，，可是我半点相关安全经验也没有，只能硬着头皮上.

7 月 16 日凌晨

由于晚上和女朋友在一起（秀波恩爱）没有在电脑旁，晚上 11 点回去以后才开始检查。

iftop 发现


AY13120620245xxx	   => 10.141.xx.xx                 0b   2.xMb  
                          <=                          0b   3x.xMb

删掉修改了下数据，反正就是上行流量 30 多兆，下行流量 2M 多。朋友说过先提了工单给阿里云，要查 10.141 这个 ip ，阿里云回复说是本地 ip 非阿里云内网。既然这样我就去

ifconfig

看到了两个网卡一个 eth0,还有个 eth1 。 eth0 的显示的本机地址是 10.xxx 我打开路由

route -n

看看是不是被路由网关在前面被黑过程中有篡改。结果发现了 10.xx 几个路由关联的是 eth0 。我不认识，直接删了，(还好有个好习惯预先截图 route -n 的结果)

然后关闭了 eth0 网卡

ifconfig eth0 down

接着 iftop , 流量不见了。悲剧的事情来了，朋友说登陆不上 vps 了。没办法重新启用网卡，还有恢复路由表。我就猜这些应该是阿里云监控相关的 ip ，我想到自己手上也有几个阿里云服务器，就登陆上去瞅了瞅，嗯也有类似的路由表和网卡。把这个途径排除。

nginx access-log

接着查 nginx 访问日志。这么高的流量肯定有外网流量作祟。

然后果然查到来自于 106.187.97.172/info.php 的 http-referer . 前面来源是各种 ip ，访问的是同一 url, 然后 url 后面待了些参数类似说网站被黑之类的拼音。

然后百度了下原来这是 DDOS 攻击的一种叫啥子 cc 攻击。木有办法。修改了 nginx 配置

if ($http_referer ~* ^http:\/\/106\.187\.97\.172.+) {
     return 403;
}

重启，嗯，都是 403 了。 iftop 来自 10.xx 的流量下降到了 16M 左右。网站还是不能访问。现在的流量还是到了服务器，要流量不到服务器还得前面加个防火墙，时间到凌晨 3 点多。扛不住睡觉

7 月 17 号

早上爬起来继续找原因。整理的下服务器上的 nginx 配置。原来朋友自己管理 nginx ，里面配置很多网站，但是把配置文件全部写了到了 nginx.conf 里。一团乱糟糟。强迫症，用 include ，分离到了其他文件夹，也是顺便查是否其他网站也有问题。结果并没什么卵用。

关掉 php-fpm. 现在把 php 基本服务关掉，总不可能还有流量吧？结果还真有，不过不多了只有几十 kb ，而且是每隔 10 多秒的样子出现一次。。嘿嘿我以为我找到真凶了。。同时开 top 和 iftop ，看看流量出现的时候，那个程序被唤醒了。。。结果是坑爹的阿里云监控。。。卒。。。

折腾到吃午饭毫无头绪。下午补觉。到了晚上，重开 php-fpm 服务去找到朋友要相关阿里云后台登陆信息。结果在吸屁股。。囧。等了好一会。我跟他说是 cc 攻击他一起挂过安全宝后面因为有一部分域名解析出了问题，就没用了，现在去开开，因为安全宝号称防 DDOS 攻击和 cc 攻击，然而他用的是免费的并没什么卵用。然后安全宝上面没有价格，需要和客服聊报价，就懒得去弄。

登陆阿里云后台后，发现了有个叫云骑的防火墙免费的，果断开了 http referer 阻断。结果数据显示评价 5 分钟有 15000 次来自于那个 ip 的访问。这时候流量下降到了 2M ，但是服务器还是不能访问， nginx 显示状态码 499 。不懂，求助。

╮(╯▽╰)╭ 想到流量还是到了服务器这样子还是不行，还是得从外面阻隔流量。搜索 cc 攻击防护，看到个 360 的广告，下面是广告时间（开玩笑），有个 360 网站安全。也说是免费的。既然安全宝没啥卵用，死马当活马医， DNS 解析切到了 360. 然后果然，阿里云的防火墙流量下来了，下降到 5 分钟大概 300 多次的样子。 nginx 日志还是显示有流量过来，也就是没有全阻断，也算不错了。但是 iftop 的流量没降。访问网站也是 502.

然后准备到这里来求助。问题来了

挖掘机技术哪家强？

好吧，，我想问的是，有没有办法看到 php-fpm 服务执行了哪些文件入口？阿里云后台显示数据库连接有 50 多个，以前网站正常的时候只有 7 个左右。现在需要找到哪些 php 文件开启了数据库连接，一个个排除应该就可以解决问题了。。。也许吧。。

后续

另外我是写前端的。。。 php 真心不懂。。求大神教。。后续更新进展

请允许我 @ 两个人来顶吗。。。 @xuedudu @wvv8oo

服务器被黑好蛋疼 ...记录下 随便求助

前言

7 月 15 日 傍晚

7 月 16 日 凌晨

nginx access-log

7 月 17 号

后续

服务器被黑好蛋疼 ...记录下随便求助

7 月 15 日傍晚

7 月 16 日凌晨