วันแรกโดนฝังสคริปที่ crontab ผมเปิดดูไฟล์ที่รันแล้วตามไปลบ พยายามหาทางแก้อยู่หลายวัน
อาการที่เจอคือ ทาง datab center แจ้งว่ามีการใช้งาน traffic ที่สูงมากผ่าน port upd
ผมพยายามแก้ตามแหล่งความรู้ต่างๆ แก้ไปหายบ้างไม่หายบ้าง และทาง hacker ก็จะเปลี่ยนไอพีเข้ามาใหม่ตลอด
จนวันนี้ผมได้แก้ไข firewall ให้เป็นดังนี้ครับ
Firewall configuration written by system-config-firewall
Manual customization of this file is not recommended.
*filter
####DRop All packet
-F INPUT
-F FORWARD
-F OUTPUT
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-A INPUT -i lo -j ACCEPT
Firewall Rule
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8888 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8081 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 517 -j DROP
-A INPUT -m state --state NEW -m udp -p udp --dport 517 -j DROP
-A INPUT -p udp -m limit --limit 5/s -j LOG
####Close ping of dead
-A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
sync flood
-A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
#######Close Scan
-A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
commit
จากนั้นก็ไม่มีเข้ามาอีกเลยในระบบ และทาง data center ก็แจ้งว่าสถานะปกติ เหตุการณ์นี้เกิดขึ้นเมื่อประมาณสองสามเดือนก่อน
ผมไม่ได้เก่งอะไร แค่อยากมาแบ่งปันความรู้กันครับ ผิดถูกให้อภัยด้วยจ้า หรือใครมีอะไรแนะนำเชิญครับ
ขอบคุณแหล่งความรู้ดีๆ THT