1

Я купил VPS у хостинга. Его назначение - тестовый сервер для WebSockets на node js. Я туда поставил node js, CORS, express. Потом оказалось что для подключения с https к WebSockets надо только WebSockets Secure. В итоге я начал поиск дешевых SSL и остановился на Rapid SSL. Для меня получение SSL сертификата был темным лесом, и после нескольких раз генерации CSR и кучи убитого времени я решил немного остановится. После этого я 1 день почти ничего не делал и на следующее утро я просыпаюсь, захожу в админку хостинга, а мне вот такое письмо:

Исходящий аномальный трафик с VPS Уважаемый Ляховський Володимир Юрійович! C Вашего сервера нами отмечается аномальный исходящий трафик. Мы были вынуждены ограничить доступ к Вашему серверу до получения от Вас деталей касательно причин данной ситуации. Для снятия ограничений обратитесь в технический отдел. Дамп прикрепляем : dump.txt

dump.txt

Написал в техподдержку, так ничего и не выяснил. Последнее сообщение от ТП:

Добрый день Дамп трафика Вам был отправлен в уведомлении 01.07.2019 23:47 Передайте его Вашему администратору или профильному специалисту который занимается администрированием сервера для изучения и устранения проблемы.

В итоге я совсем не понимаю о чем идет речь и как мое node js приложение могло куда-либо отправлять запросы, если это вообще было оно.

Код тестового node js приложения

6
  • В логах только IP DNS от гугла и какой-то китайский IP. Блокировать исходящий трафик на левый IP не пробовали? Проверять на вирусы?
    – Streletz
    2 июл 2019 в 10:12
  • Проблема в том что судя по времени я в тот момент спал, а утром когда проснулся то мне заблокировали доступ к VPS и я не смог ничего посмотреть.
    – user343049
    2 июл 2019 в 10:20
  • Из дампа видно, что нечто генерит 100 килопакетов (а это очень не мало) с хоста. Ну, теперь когда там сеть вырубили вряд ли получится найти виновного, но я б посмотрел вдруг осталась сетевая активность "вникуда" с помощью tcpdump -nnvi any и потом если она осталась, с помощью netstat -tvaep , lsof -i, /proc/net/nf_conntrack (если коннтрак там подрублен) выяснить от кого именно.
    – nobody
    2 июл 2019 в 12:57
  • Есть npm пакеты со всякой ерундой типа "вирусы-трояны-воровщики криптовалют или криптодобытчики", может быть они? 2 июл 2019 в 13:23
  • Да, возможно дело и в пакете, буду разбиратся(
    – user343049
    2 июл 2019 в 13:36

1 ответ 1

2

Мало информации для точного ответа, но можно дать пару советов:


Кто-то мог получить доступ к серверу, подобрав пароль от одного из юзеров. Например от к-л дефолтного юзера к-л программы (например postgresql, phpmyadmin etc). Их можно подобрать автоматическими скриптами, которые просто стучатся на сервер, пока не войдут. Часто в таком случае ставят в CRON задачи на что-нибудь, например скачивание малвари и прочее.

Что можно сделать?

  1. Проверить содержимое /var/log/syslog - там логи авторизации на сервере разных юзеров. Если что-то подозрительное есть - можно отключить авторизации по паролю через ssh и настроить подключение по ключу. Его подбирать нужно будет годами, а не часами. Также полезно будет сменить дефолтный порт для ssh.
  2. Проверить все crontab файлы всех юзеров - там могут быть следы взлома. Если файлы не из под root юзера сделаны, то можно просто их root юзеру передать, очистив предварительно. Так они не перезапишутся и работать не будут.
  3. Проблема может быть и в NodeJs в виде к-л уязвимости. Тут поможет только удаление оной или апдейт на билд с фиксом. Маловероятно, однако я лично сталкивался со взломом личного сервера через уязвимость в Jenkins
  4. Изучить все остальные логи сервера, если ничего не помогло - может быть найдётся что-то.

Хостеру надо написать, что есть идеи как починить и они должны будут включить доступ к серверу на к-л время (обычно несколько часов). Если за это время удастся найти и устранить проблему - пишите им, они проверят и всё вернётся на круги своя.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.