分类
日记 笔记

公司网络瘫痪记

一早来到公司,发现网络极不稳定,基本没法用。刚开始以为是小问题,结果网络瘫痪,到中午才修复。这是本IT部门的事,可偏偏与我扯上了关系。

下午,当IT把检测报告送过来时,顿时傻眼了。3G多的抓包,用wireshark用了5分钟以上才打开,其中有85%以上的发送包来自我们的测试服务器。

早在两年前,为了方便开发,我们申请了两台电脑,一台是179网段的18,用于开发,管理代码及文件,我们习惯叫18。一台是179网段的36,用于测试,我们习惯叫36。这两台电脑的80,8080,3306都有映射到公网。最近因为环境迁移,原本这两台台式机分别迁到了小型机,我责负维护和管理。

我在两台机器上都安装了最新稳定版本的mysql,tomcat,apache,memcache,activemq,proftpd。其中18安装了版本管理svn和包管理工具,36安装了rstatd监控工具。这些东西都用得很熟了,也很了解,按理说不会出什么问题。系统也是升级到最新版,使用官方yum源打的补丁。虽不是铜墙铁臂,但想从公网攻破也不是那么容易。同样的环境,现在被攻击的是36,而18却没有,难道是hacker太笨没想到?

为了保证公司网络,把36那台电脑的网断了,然后专检查36。所有目录查了一遍后发现36上的tomcat下webapps多了几个应用,分别是A-SD,soft,MOS。很显然这些不是我们布的系统。拒数据包分析,有人布了这些应用然后用它请求其他带广告的网址,模拟用户点击。这样应该可以得到一些收入吧,排查后确定是A-SD做的,它下面的AD进程在top命令中忽隐忽现。MOS工程应该是一个接收远程命令查看本地目录及文件的,看了一些源代码,还有压缩功能。至于soft,可能是gbk编码,在utf-8的linux下乱码,没来得及查看。

即然问题找到就好办了,直接删除即可。但是这是怎么挂上去的呢?最大的嫌疑是tomcat的管理界面。虽然开放tomcat的管理界面,但默认情况下,是没有用户的,所以根本不能登录,更别说发布工程挂马了。而且tomcat是最新的,漏洞哪是这么好找的。如果真是漏洞被攻陷,另一台也不会这么安稳。我删除了tomcat的管理工程,然后听测试人员说曾在管理工程下创建过用户并使用简单密码。难怪~

现在给IT发邮件要求网络恢复36的网络。我决定把tomcat默认端口8080改掉,不使用公网映射的端口保证安全。如果需要公网访问,统一使用apache代理。也准备增加一些策略保护好3306端口,增加一些监控软件。

攻与防的较量一直存在,我也希望在这些较量中提升自己,变得更加全面。

发表评论

电子邮件地址不会被公开。