服务器被入侵后发大量的数据包

jz365

我的也遇到这样的问题醉了

jz365

回复 16# chenyx
我的服务器也遇到这样的问题
按照你的脚本能防住对外发包，但是学校的网站，能打开首页，但是登陆不了


   

chenyx

将你的iptables规则贴一下 @jz365

jz365

回复 23# chenyx

# Generated by iptables-save v1.4.7 on Thu Jul  7 21:30:17 2016
*filter
:INPUT DROP [3:944]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [6:360]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 28888 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7070 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 2020 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3030 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3031 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5050 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 6060 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 23456 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 1521 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 7070 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 2020 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 3030 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 3031 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 5050 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 6060 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 8080 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 23456 -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
COMMIT
# Completed on Thu Jul  7 21:30:17 2016


   

jz365

回复 23# chenyx


   

chenyx

规则没看出来有什么问题。
建议你先将OUTPUT的默认规则设置成ACCEPT测试下

jz365

回复 26# chenyx
大神，OUTPUT设成ACCEPT，就没问题了，排查了下服务器被个叫   hades  的黑客攻击了，大量的往美国IP发包，1天就发了 1T多的数据，内网几乎都快整废了


   

jz365

回复 26# chenyx
大牛，现在服务器疯狂的往外发包攻击的都是美国的IP，咋整？  

Riet

回复 28# jz365


    只往某个IP发可以OUTPUTban掉 如果是随机IP 目前看来你可以尝试用 connlimit限制OUTPUT方向连接数

jz365

回复 29# Riet
全是这种连接，估计是DDOS那边的服务器