[질문] 리눅스 서버 해킹 전문가

[root@www root]# netstat

Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 www.rgrong.net:http     City-of-Fullerton:63125 SYN_RECV
tcp        0      0 www.rgrong.net:http     City-of-Fullerton:65015 SYN_RECV
tcp        0      0 www.rgrong.net:http     City-of-Fullerton:62261 SYN_RECV
tcp        0      0 www.rgrong.net:http     219.241.108.36:3759     SYN_RECV

이렇게 뜨는데 City-of-Fullerton:63125  이 새끼 뭐에요?

그리고 메세지로그 보면
Apr 20 23:09:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 20 23:19:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 20 23:24:15 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 20 23:29:54 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 20 23:39:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 20 23:49:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 20 23:59:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:09:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:19:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:29:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:39:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:49:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:57:07 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 00:59:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 01:09:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 01:19:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 01:29:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 01:39:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 01:49:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 01:59:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 02:09:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 02:19:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 02:29:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 02:39:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 02:49:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 02:59:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:08:04 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:09:56 www last message repeated 2 times
Apr 21 03:19:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:29:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:35:50 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:39:55 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:49:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 03:59:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 04:09:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 04:19:56 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 04:29:57 www vsftpd: warning: can't get client address: Bad file descriptor
Apr 21 04:34:14 www vsftpd: warning: can't get client address: Bad file descriptor

보시다시피 주기적으로 저런 에러로그가 쌓여있는데 저거 뭔가요?

일반 | 2667명이 읽었어요. 3.139.235.119

비공개 손님 … 2005-04-21 07:16:24

City-of-Fullerton 는 어딘가요? 그리고 아래는 vsftpd.. ftp데몬을 vsftpd쓰시나보네요..(호스트 이름이 www 인가요?-_-) 아무래도 ftp 포트로 누가 공격하는 중인거 같네요

비공개 손님 … 2005-04-21 07:21:54

해킹 전문가 이런건 아니지만... 보안상 proftpd 나 ncftpd 가 좋습니다..

비공개 손님 … 2005-04-21 08:45:57

리눅스 어려벙 ㅠㅠ

비공개 손님 … 2005-04-21 09:49:44

나도 이런 애기 알고 싶은데...;

비공개 손님 … 2005-04-21 12:35:55

보안상 vsftpd가 나쁘지 않습니다. 보안상으로 치면 vsftpd가 proftpd에 비해 매우 강력합니다. proftpd는 기능이 막강해서 널리 쓰이고 있지만, 기본적으로 리눅스에서 제공해주고 있는 ftp 서버 프로그램은 vsftpd 입니다. 그 이유는 vsftpd가 보안성이 매우 뛰어나기 때문이죠.

비공개 손님 … 2005-04-21 12:49:12

SYN_RECV를 보면 DOS 공격이라고 볼수도 있습니다.(아니라고 볼수도 있음)
일단 쭉 지켜보고 계속 신호를 보내고 있다면 DOS 라고 보는게 낫겠죠.
찾아보니

간단하게 아래의 명령어를 Command Line에서 적용하고, 시스템이 부팅될 때 마다 적용되도록 /etc/rc.d/rc.local에 적용하면 됩니다.

echo "1" > /proc/sys/net/ipv4/tcp_syncookies
echo "2" > /proc/sys/net/ipv4/tcp_retries1
echo "8192" > /proc/sys/net/ipv4/tcp_max_syn_backlog

혹시 알 수 없는 이유로 웹서비스가 느려졌다는 생각이 들면 우선 netstat -an | grep SYN ( | wc ) 로 SYN_RECV 상태의 TCP Socket을 확인하세요.
특정 IP에서 계속 연결을 시도하고 있다면 위와 같은 명령어로 확실히 불필요한 많은 접속 시도를 줄일 수 있습니다.

라는 방법이 있네요.

비공개 손님 … 2005-04-21 12:51:08

SYN_RECV라는게 꼭 DOS공격을 의미하는건 아닙니다. 그러니 상황에 지켜보고 판단해야함.
이놈이 계속 접속해 있네? 싶으면 끊어버리고 얼마 안있다가 사라지면 공격 아닌거고

비공개 손님 … 2006-08-01 09:45:31

저걸 왜 DoS공격이라고하는지..ㅋㅋㅋㅋㅋ
DoS공격은 여러가지가 잇겟지만 리시브받거나 어택하는 타이밍을 노려서
서버에 과부하를 걸게 하는데 요지가 있습니다.
실제로 서버에 DoS공격을 걸어와서 패킷 검사 해보면
쉽게 보일수있습니다..패킷잡는거는 쉽게 구하실수 있구요
그리고 제가보기엔 해킹이라고 안보셔도 됩니다.
그리고 메세지 오류를 보게되면
서버에 DB관리 및 정리좀 해주시고..
식별할수 없거나 불법경로를 이용해 접근하려는 사람이
있어서 그럴수도 있습니다.
처음 리눅스를 하는사람이거나 잘 모르는사람이 가끔식
놀랄때가 잇습니다.
갑자기 이메일이 root에게 왓다는 메시지 터미널확인가능
이런거랑 비슷할수도 있으니 겁먹지마세요^^

댓글을 작성하실 수 없습니다.
(권한이 없는 회원레벨)

목록으로

△ 이전글: [질문] 사블 live DE 좋나요? [5]

▽ 다음글: 컴퓨터 고수님들 이거 무슨소리에요?? [4]

TOP arrow_upward