服务器被入侵后发大量的数据包

jason_teach

回复 10# zhaopingzi


    不是，这台机器压根就没有squid，我都没安装过。

qidunhu

莫非被当做中转站了？

jason_teach

回复 12# qidunhu


    流量只是output发包，没有input收包。

chenyx

那样的话,你试试

1. iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
   
2. iptables -A OUTPUT -j DROP

复制代码

看看能防住发包不

jason_teach

回复 14# chenyx


    现在进程我已经kill掉了。所以现在没有发包了。我现在在写iptables防火墙策略，但是我DROP后，网站有些东西就访问不了了。比如动态的jsp。我架构Apache+Jboss,打开主页有请求JSP的。我开了80  只能访问Apache的网站页面，但是jboss的请求不到了。 我加了一条DROP。如下：

iptables  -A INPUT -j DROP(REJECT)
iptables  -A OUTPUT -j DROP(REJECT)
（加了其中一条）（两条全部加上） 都可以正常访问Apache ，但是JBOSS的JSP数据请求不到。


防火墙规则如下：
iptables -F
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT /*允许本机访问本机*/   
iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables  -A INPUT -p icmp -j ACCEPT
iptables  -A INPUT -j DROP
iptables  -A OUTPUT -j DROP

帮忙看看哪地方需要改一下。

还有个地方我现在没有想明白，当客户端请求web服务器，相当于客户端请求的数据包要经过iptables的INPUT链，之后送达到服务器之后，服务器应该给客户端一个响应，需要走OUTPUT链，来给客户端一个响应（应答）。那也就是说，我加粗的防火墙规则（INPUT和OUTPUT）都需要写吧？  按照我刚才说的，怎么理解呢？

chenyx

我给你改了下,你试试

1. iptables -F
   
2. iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
   
3. iptables  -A INPUT -p icmp -j ACCEPT
   
4. iptables -A INPUT -i lo -j ACCEPT
   
5. iptables -A INPUT -p tcp --dport 22 -j ACCEPT
   
6. iptables -A INPUT -p tcp --dport 80 -j ACCEPT
   
7. iptables  -A INPUT -j DROP
   
8. iptables -A OUTPUT  -m state --state RELATED,ESTABLISHED -j ACCEPT
   
9. iptables -A OUTPUT -o lo -j ACCEPT
   
10. iptables  -A OUTPUT -j DROP

复制代码

action08

这个 jboss平台漏洞太多了，不过也不熟悉啊

jason_teach

回复 16# chenyx


    谢谢你，chenyx。可以了。好厉害。

chenyx

iptables规则只是治标,不能治本.要根本解决,还需要你对系统进行检查才行.

tonlmy1015

回复 1# jason_teach
现在也碰到这样的问题，楼主是如何分析解决的