نشانه‌های هک شدن سرور و اقدامات فوری
مصرف عجیب منابع و ترافیک، پروسه‌های ناشناس و کارهایی که باید فوراً انجام دهید.
نشانه‌ها
- مصرف بالای CPU یا ترافیک بدون دلیل (مانیتورینگ)
- پروسه‌های ناشناس با نام‌های عجیب در
htop - کاربران یا کلیدهای SSH ناشناس
- کرون‌جاب‌هایی که شما نساخته‌اید
- گزارش ارسال اسپم یا حمله از IP سرور
بررسی سریع
top -c
last -20
cat /etc/passwd | grep /bin/bash
cat ~/.ssh/authorized_keys
crontab -l
ls -la /tmp /var/tmp
ss -tulpnاقدامات فوری
- رمز root و همهٔ کاربران را عوض کنید.
- کلیدهای SSH ناشناس را از
authorized_keysحذف کنید. - اطلاعات مهم (نه برنامه‌ها) را بکاپ بگیرید.
- مطمئن‌ترین راه: نصب مجدد سیستم‌عامل و بازگرداندن اطلاعات تمیز.
- پس از نصب، سرور را ایمن کنید.
سروری که هک شده را نمی‌توان با اطمینان کامل پاک‌سازی کرد. نصب مجدد امن‌ترین راه است.