☰

간헐적인 네트워크 연결 - CentOS

tag-icon • tag-icon linux centos networking
간헐적인 네트워크 연결 - CentOS

내 서버 중 하나에 매우 이상한 문제가 있습니다. 몇 분마다 연결이 끊어지는 것 같습니다.

CentOS 6.5 64비트 아키텍처에서 실행되며 네트워크 연결 끊김이 자주 발생합니다.

일련의 TCPDUMPS를 사용하여 결함을 격리했지만 내 서버가 대상 포트 6004에서 알 수 없는 IP 주소로 여러 번 호출하는 것으로 나타났습니다.

10:26:09.323489 IP xxxx.43725 > 103.233.80.202.static.krypt.com.6004: Flags [S], seq 4085665640, win 14600, options [mss 1460,sackOK,TS val 57778507 ecr 0,nop,wscale 7], length 0
10:26:09.325540 IP 103.233.80.202.static.krypt.com.6004 > xxxxx.43725: Flags [S.], seq 1064636205, ack 4085665641, win 64240, options [mss 1400,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0
10:26:09.325561 IP xxxxx.43725 > 103.233.80.202.static.krypt.com.6004: Flags [.], ack 1, win 115, options [nop,nop,TS val 57778509 ecr 0], length 0
10:26:09.325855 IP xxxxx.43725 > 103.233.80.202.static.krypt.com.6004: Flags [P.], seq 1:29, ack 1, win 115, options [nop,nop,TS val 57778509 ecr 0], length 28

다음은 netstat를 통한 이러한 연결 중 하나의 출력 예입니다.

tcp        0      0 XX.XX.XX.XX:43730            103.233.80.202:6004         ESTABLISHED 1218/netstat -an

연결은 내 서버에서 포트 6004의 태국 IP 주소로 들어오는 것 같습니다.

나는 이것을 루트로 실행되는 프로세스로 추적했습니다.

root      1218     1 60 10:11 ?        00:14:49 netstat -an

iptables에서 해당 IP 주소를 차단해 보았지만 이는 일시적인 해결 방법일 뿐입니다. (및 관련 프로세스) 그러나 몇 시간 내에 문제가 다시 발생한다는 것을 알았습니다. 현재 서버를 중지했지만 여기에서 계속하는 방법을 모르겠습니다. (전체 재설치 중지)

서버에서 무언가를 추적하기 위해 무엇을 할 수 있는지에 대한 아이디어가 있습니까?

답변1

귀하의 시스템이 봇에 의해 손상된 것 같습니다. 귀하의 설명으로 판단하면 ChinaZ.DDOS 변종일 가능성이 높습니다.

이러한 봇넷은 일반적으로 취약한 서버를 검사 및 공격하고 맬웨어를 설치합니다.

방화벽이나 라우터가 너무 많은 연결을 수신하고 일부 테이블이 소진되었거나 DDoS 완화 구성이 있어 일시적으로 차단하기 때문에 연결이 끊어질 수 있다고 감히 말씀드립니다.

서버를 손상된 것으로 간주하고 다시 설치하겠습니다.

보호된 네트워크에서 실행하여 동작을 연구하고 보안에 대해 자세히 알아볼 수 있는 기회를 활용할 수 있습니다.

맬웨어 탐지 및/또는 바이러스 백신 소프트웨어를 다운로드하고 실행하여 보유하고 있는 소프트웨어의 이름을 찾았는지 확인하세요. 시스템 호출, 액세스된 파일, 네트워크 및 다양한 시스템 활동을 추적하려면 sysdig 또는 dtrace4linux를 사용하십시오.

관련 링크를 남겨두겠습니다. 그럴 수도 있고 아닐 수도 있으며, 추가 조사를 통해 그렇지 않은 경우를 알 수 있습니다.

http://blog.malwaremustdie.org/2014/11/china-elf-botnet-malware-infection.html

관련 도구에 대한 몇 가지 링크를 남겨드리겠습니다.

리눅스 악성 코드 탐지 https://www.rfxn.com/projects/linux-malware-Detect/

dtrace4linux https://github.com/dtrace4linux

시스템 마이닝 http://www.sysdig.org

프로그램에 관해서는, 제가 정확하게 기억한다면 해당 CentOS 버전은 2년이 되었고 1년 동안 업데이트되지 않았습니다. 인터넷에 연결된 모든 유형의 서버는 계속 업데이트되어야 하며 그렇지 않으면 이런 일이 발생할 수밖에 없습니다. 비슷한 상황으로 인해 과거에도 네트워크 중단을 경험했습니다.

관련 정보