遭受DDOS入侵后的VPS急救與數(shù)據(jù)恢復(fù)
一次遭受DDOS入侵后的VPS急救與數(shù)據(jù)恢復(fù)
本站原創(chuàng) [基于 署名-非商業(yè)使用-相同方式分享 2.5 協(xié)議，轉(zhuǎn)載須注明鏈接]
對于使用VPS服務(wù)的人來說，數(shù)據(jù)就是生命。除了日常進行數(shù)據(jù)備份外，掌握一些數(shù)據(jù)搶救的方法，也能在很大程度上減少損失。
本人某一臺VPS在不久前受到了DDOS攻擊，隨后馬上收到來自DNSPOD的報警短信。VPS服務(wù)提供商在幾分鐘內(nèi)將IP進行了null空路由。
Your server was suspended due to high ddos attack on the host node and it affected our host node performance heavily.
Our upstream engineers have null routed your server IP address to bring back the host node stable.
As it is related to the performance issue on our host node we cant do anything for the next 24 hours. If the connections to the server gets compromised then we would unsuspend it for you.
Please get back to us with the reason for this DDOS attack .
Thanks.
由于這臺機器并沒有運行可能受到攻擊的服務(wù)，僅僅是作為一臺后端備份服務(wù)器，實在找不到受到攻擊的理由。。。郁悶。。隨后，立即通過SolusVM的VNC控制臺登陸服務(wù)器，花了幾個小時，也均沒有發(fā)現(xiàn)任何受到攻擊的跡象。由于服務(wù)器已經(jīng)與整個網(wǎng)絡(luò)斷開連接，因此也無法下載chkrootkit等工具。
繼續(xù)與VPS服務(wù)提供商溝通，要求打開網(wǎng)絡(luò)取消空路由。得到的答復(fù)是，在恢復(fù)網(wǎng)絡(luò)后幾分鐘內(nèi)，繼續(xù)出現(xiàn)“DDOS”的情況。這時我差不多明白了，可能是這臺服務(wù)器被入侵，向其它網(wǎng)絡(luò)進行DDOS攻擊，而不是被其它網(wǎng)絡(luò)DDOS。
繼續(xù)向VPS進一步詢問，果然如此?，F(xiàn)在首當其沖的任務(wù)是取回數(shù)據(jù)。只要取回數(shù)據(jù)，什么事情都好辦（大不了Reinstall）。
重啟機器，在Grub中的啟動命令行中加入?yún)?shù)“single”，以單用戶模式啟動Linux。進行了一些檢查，同時重設(shè)了iptables防火墻，將所有的入站INPUT禁止掉，允許部分出站鏈接。
重啟機器，發(fā)Ticket，再次要求Unull IP。此時已經(jīng)過去了40多個小時（VPS提供商會在出現(xiàn)DDOS的情況后無條件禁用你的網(wǎng)絡(luò)至少24小時?。。。?。
隨后又得到回復(fù)，告知DDOS在連接網(wǎng)絡(luò)后依然存在。登陸VNC，檢查iptables，發(fā)現(xiàn)iptables已經(jīng)down掉?？磥磉@臺肉雞已經(jīng)淪陷不淺。無解。
這時，由于沒找到入侵的途徑，整個系統(tǒng)也因為入侵變得不可信，因此取回數(shù)據(jù)、重裝系統(tǒng)便成了最好的解決方案。但是由于無法聯(lián)網(wǎng)，而一旦聯(lián)網(wǎng)，系統(tǒng)又會立即被null IP，所以如何在能夠取回數(shù)據(jù)的情況下重裝系統(tǒng)，是需要馬上解決的難題。
這時，突然想到了VPS提供商提供了一些其它的CD-ROM（如Gparted、Rescue CD），可以啟動其它的系統(tǒng)，然后取出數(shù)據(jù)。
于是立即引導(dǎo)到了一個Linux急救系統(tǒng)下，把所有需要備份的數(shù)據(jù)打包。設(shè)置好網(wǎng)絡(luò)。向VPS提供商發(fā)個Ticket，要求unnull IP。
執(zhí)行
scp -P 9999 ~/backup.tar.gz [email protected]:/root/backup/
得到數(shù)據(jù)。立即重裝系統(tǒng)。搞定。
至于分析之前受到入侵系統(tǒng)的日志，是后來的事了。
本文轉(zhuǎn)自 xxl714 51CTO博客，原文鏈接：http://blog.51cto.com/dreamgirl1314/978559，如需轉(zhuǎn)載請自行聯(lián)系原作者