关于linux向外大量发送udp包

chenyx

是不是有病毒啊,80端口一般是tcp的,以前见过windows机器中病毒狂发upd80的包

HH106

回复 10# shengma_cu

php-cgi进程?
能够起用udp端口吗?
您是如何找出来的?

HH106

回复 11# chenyx


   恩，就是怀疑机器中了什么恶意程序,充当肉鸡,
向指定IP 80端口发送UDP包,而且是不定时的 ，暂时只有用iptables禁止向外发

platinum

应该是中了木马，被当做肉鸡进行 DDoS 型的带宽饱和攻击
依据：
1、目标 IP 是同一个，很有针对性
2、是 UDP 端口 80，用意在消耗带宽
3、LEN=8220，是 UDP 大包，且一定分片了，绝对是肉鸡，在帮助宿主进行带宽饱和攻击

chenyx

udp80没什么应用,直接在防火墙上Drop掉得了

taojie2000

回复 1# HH106


    http://www.hbblxk.com/   

    ping下这个网站就知道是啥了

HH106

回复 14# platinum


    恩，就是消耗带宽，超过了百兆网卡的最大流量,导致web服务不稳定~
用tcpdump -i eth1 udp port 80 监控了好几天，想找出是什么程序在向外发包，结果什么也没有抓到
netstat -ntulp 也看不出来异常.
无奈，只好重装了系统解决.

platinum

回复  platinum


    恩，就是消耗带宽，超过了百兆网卡的最大流量,导致web服务不稳定~
用tcpdump -i ...
HH106 发表于 2010-12-16 15:55

lsof 能看出问题吗？/var/log/messages、last 等日志里有敏感信息吗？
如果找不到攻击来源，很难避免将来再被攻击，所以当时应该好好保留攻击环境，仔细分析一下为好

snow888

回复 18# platinum


    白金，能详细说一下么。

这个知识是非常有用的。

HH106

回复 18# platinum


    恩，谢谢您的建议，我也想找出到底是什么原因，您说的这些我都有仔细查看过.
无奈水平有限，忙活了好几天，也没看出什么异常来. 只好重新安装了。