[완료] 폭주하듯 패킷을 보내는 클라이언트가 있는데...
글쓴이: samsee / 작성시간: 목, 2008/11/13 - 10:49오전
개인용도로 사용하는 서버에서 tracedump를 해봤습니다.
놀래 자빠질뻔, 거의 1초에 수백줄이 올라가는 겁니다. 것도 전혀 알지 못하는 IP에서. 이게 공격중인 건가요??
아래는 tcpdump의 결과입니다.
... 10:27:36.023692 IP 121.160.xxx.93.1982 > myhost.com.www: . ack 711676 win 65535 10:27:36.023776 IP myhost.com.www > 121.160.xxx.93.1982: P 719528:719772(244) ack 3329 win 8576 10:27:36.023832 IP myhost.com.www > 121.160.xxx.93.1982: P 719772:719904(132) ack 3329 win 8576 10:27:36.034021 IP 121.160.xxx.93.1982 > myhost.com.www: . ack 712052 win 65159 10:27:36.034104 IP myhost.com.www > 121.160.xxx.93.1982: P 719904:720148(244) ack 3329 win 8576 10:27:36.034161 IP myhost.com.www > 121.160.xxx.93.1982: P 720148:720280(132) ack 3329 win 8576 10:27:36.043985 IP 121.160.xxx.93.1982 > myhost.com.www: . ack 712428 win 64783 10:27:36.044069 IP myhost.com.www > 121.160.xxx.93.1982: P 720280:720524(244) ack 3329 win 8576 10:27:36.044124 IP myhost.com.www > 121.160.xxx.93.1982: P 720524:720656(132) ack 3329 win 8576 10:27:36.053645 IP 121.160.xxx.93.1982 > myhost.com.www: . ack 712804 win 64407 10:27:36.053727 IP myhost.com.www > 121.160.xxx.93.1982: P 720656:720900(244) ack 3329 win 8576 10:27:36.053782 IP myhost.com.www > 121.160.xxx.93.1982: P 720900:721032(132) ack 3329 win 8576 10:27:36.059942 IP 121.160.xxx.93.1982 > myhost.com.www: . ack 713232 win 65535 10:27:36.060020 IP myhost.com.www > 121.160.xxx.93.1982: P 721032:721276(244) ack 3329 win 8576 10:27:36.060075 IP myhost.com.www > 121.160.xxx.93.1982: P 721276:721408(132) ack 3329 win 8576 10:27:36.067531 IP 121.160.xxx.93.1982 > myhost.com.www: . ack 713608 win 65159 10:27:36.067617 IP myhost.com.www > 121.160.xxx.93.1982: P 721408:721652(244) ack 3329 win 8576 10:27:36.067674 IP myhost.com.www > 121.160.xxx.93.1982: P 721652:721784(132) ack 3329 win 8576 ...
잘 모르는 제가 해석하자면, 121.160.xxx.93의 1982 포트에서 myhost.com의 www포트로 패킷을 마구 보내고 있는 것 같은데, 맞는건가요? 저는 지금 80포트를 ssh로 사용하고 있습니다.
놀라운 것은 위의 IP에 traceroute한 결과 33.263 ms 정도의 지연시간이 있는데. 어쩜 저렇게 빨리 주고받을 수 있는건지..
도와주세요- 올해 초에 한번 서버 어택 당해서 하드까지 날려버린 쓰라린 경험이...ㅠ
Forums:
저는 지식이
저는 지식이 일천하여 저거만 보고 공격중인지 아닌지는 모릅니다
단지 뭐 좀비던 뭐던간에 해킹용으로 쓰이고 있을 경우를 가정하면..
뿌리고 있다면 뿌리는 놈이 있을껍니다
구동중인 프로세스를 한번 뒤져보시는게 어떤지?? 언넘이던간에 점유율 좀 잡고있는 수상한놈이 있을꺼 같은데요...
초당 수백줄씩 쏴대면... 뭐 프로세스를 숨겼다면 모르겠지만요...
몇년전에 서버에서 홈페이지운용중이신분들이 구버전 bbs프로그램을 삭제 안하고
그대로 public_html 폴더에 보관하고계신분들이 있어서 두어번 불려간적이 있는데
그런경우는 그냥 파일 업로드하고 원격지에서 실행하는 식으로 하기때문에 프로세스만 조회해도 바로 걸리더군요...
전 이거 지우라 지우라 하다가 방법이 없어서 public_html 폴더 명을 전부 바꿔버렸다죠... -_-
public_html에 bbs만 올려놓고 안쓰는사람들은 어차피 뭐라 안할테니 해결되는거고..
홈페이지 쓰는사람들은 bbs 다들 최신버전으로 바꾸라하고 풀어주는방법으로...
이런 낭패가..
프로세스 쪽으로도 찾아봤는데 안 보이더라고요..
도대체 뭘까..하다가..
iptables로 일단 해당 IP를 막아보았습니다. 결과는, 바로 PuTTY가 죽어버리더군요.. 아 설마..설마..했는데
바로 저였습니다.=ㅅ=
이제 추리해보니까 딱 맞는 것 같네요. SSH는 접속 유지니까 저렇게 빠를 수 있었던 것이고.
오가는 패킷들은..바로..tcpdump 결과를 보내고 받은 패킷이었던 것입니다.
안습입니다 ㅠㅠㅠㅠ
생각만해도 무섭군요
생각만해도 무섭군요 후덜덜
---------------------------------------
http://www.waitfor.com/
http://www.textmud.com/
이건 좀
이건 좀 무섭군요....
예전에 동아리서버에서 원격으로 작업하다가 이더넷 인터페이스를 내려버려서 조넨 뛰어가서 다시 인터페이스 올려줬던 기억이 새록새록...;;;
딴 프로젝트때문에 세팅했던 서버는 방화벽 세팅하다가 ssh를 외부 ip만 막아야하는데 다막아서 걍 그대로 ftp서버로만 사용중이라죠 ( '')
그서버 정전만 되면 다시 ssh살아날텐데라는 생각으로 기다리다가 제가 계약기간이 끝나서.. 누군가 필요하면 새로 깔겠죠.. ( '')
딱 생각하던
딱 생각하던 대로군요 :)
ssh로 로그인한 호스트에서 tcpdump 돌리면 흔히 볼 수 있죠.
(ssh 포트를 제외시키지 않는 한 악순환의 연속이랄까...)
--
익스펙토 페트로눔
--
익스펙토 페트로눔
댓글 달기