服务器总是被黑，有没有什么好办法

[xiyoulzl]

自己在 banwagong 买了两台服务器 平时自用梯子 已经用了两年多了 今年有一台服务器频频被黑，多次因为发送垃圾邮件被暂时停机 前两三次被黑都是因为密码被破解了，但是密码都是随机的密码 16 位蛮复杂 每次被黑之后都会完全重装系统 第四次被黑我就很不能理解。 为了防止被黑第四次重新安装完系统之后，配置好自己的东西后，我直接把 ssh 服务关掉了，没办法 ssh 登陆，就这样子也就过了半个月又被黑了，说发送垃圾邮件，然后被停机。

我服务器上的配置也就是从 ubuntu 的源上装的 nginx 、ss 什么的，没装什么未知来源的程序，并且 ssh 被我关掉了。。 想破脑袋不知道服务器怎么被黑掉的。。

[mokeyjay]

你把你从拿到机器以来所有执行过的命令贴一下啊
是不是 DD 了某些奇怪的镜像？是不是把某个软件设置了高危的权限？

[xiyoulzl]

@mokeyjay
系统镜像是搬瓦工提供的 ubuntu1804 镜像
命令我要看看

[tulongtou]

感觉是你安装完系统，安其他工具的时候，用了奇奇怪怪的脚本，在那个时候就给你种上木马了

[xiyoulzl]

@tulongtou 没有用过哪些网上的脚本，有一些配置脚本都是自己写的，下载的也都是 github 上 shadowsocks 官方的二进制文件

[lcdtyph]

是不是 bwg 的账号被黑了呀

[xiyoulzl]

@lcdtyph 这个我有怀疑，但是 bwg 账号的登录记录我看了一下 没有异常登陆，并且如果账号背黑了，另外的一台服务器好好的。。

[lcdtyph]

可能是旧版 nginx 的一些提权漏洞，或者 ss 本身的提权漏洞。另外还有可能是你的某个客户端中毒了，在不断通过 ss 代理发送垃圾邮件导致被封

[Osk]

先看一下防火墙开了哪些端口, 然后再重点排查监听这些端口的程序.

另外, 建议将这些程序降权运行, 不要 root 直接开跑.
系统也要及时更新.

[xiyoulzl]

@lcdtyph 另外还有可能是你的某个客户端中毒了，在不断通过 ss 代理发送垃圾邮件导致被封
突然觉得这个还真的有可能。。。

[nijux]

会不会是你自己本地用的 ssh 客户端有问题

[xiyoulzl]

@nijux 用的 windows 自带的 ssh 。。

[viosey]

试试设置密钥登陆 不要用密码

[xiyoulzl]

@viosey 我配置完机器之后，直接把 ssh 服务关了。。。
我还查了一下机器最近的登陆记录，没有人登陆

[hs0000t]

改防火墙，把 25 端口禁了

[zhlxsh]

不应该呀，有后续记得艾特我

[patx]

插眼，蹲个后续大神的分析

[ZRS]

这显然是你客户端的问题

[xiyoulzl]

@mokeyjay
@lcdtyph
@zhlxsh

1. 我特意查看了一下 lastlog 、最后的登陆记录，都是我自己没有别的登陆
2. 包括最后执行的命令 ，都是我自己执行的没发现别的可疑命令
3. 服务器重启后我看了端口 只有 80 443 ssh 端口，再没有看到邮件端口。

最后执行的命令（都是我自己执行的）



root@livevideo:~# cat .bash_history
sudo apt update
sudo apt upgrade
reboot
ls
cd /var/log/
ls
cat auth.log
cd
w
who
who am i
w
w --help
w -o
sskey
cd
ls
cd .ssh
ls -a
ufw
ufw status
service ssh status
service ssh stop
ls
service ssh status
exit
sudo apt upgrade
sudo dpkg --configure -a
ls
mkdir ss_proxy
cd ss_proxy/
ls
wget https://gist.github.com/xxx/installEnv.sh （自己写的 ss 安装脚本）
ls
sh installEnv.sh
ls
cat config.json
vim config.json
vi config.json
apt install vim
vim config.json
ls
cat run.sh
./run.sh
su run.sh
sudo sh run.sh
ls
ufw
sudo apt install ufw
root@livevideo:~#

现在非常怀疑，是不是我的某个 ss 客户端中毒了。。

[xiyoulzl]

@ZRS 我现在也在怀疑。。

[la9998372]

我觉着是你代理的问题，我之前遇到过这个情况，后来排查觉着可能是自己的代理密码太弱了，或者是客户端中毒了，直接顺着你的代理发送垃圾邮件了

[felixcode]

会不会你本地电脑中毒了或中木马了

[KasuganoSoras]

遇到过，大概率是你代理被别人滥用了，早年我有一台 hk 小鸡搭的 v2 也是没怎么用，就平时分享给朋友用，后来应该是有人把 v2 连接信息泄露出去了，服务器就因为 spam 被停机，恢复之后我把 v2 信息改了就没事了。

[xiyoulzl]

@KasuganoSoras 我现在也在怀疑这个😥

[datocp]

Ss 一直被人反应有烂发邮件的问题。当然 2014.1.2 不用 ss 的原因很简单，我怀疑它的手机客户端使用了它家的 dns 而不是直接使用 vps 的 dns 。自那之后和 ss 说 88 。
既然是烂发邮件，那就找出邮件服务器端口屏蔽，当年把代理分享有说到这事就开始用 iptables ，不知道端口有没有找齐，用了 7 年搬瓦工了，没有因为烂发邮件被停机。
-A OUTPUT -p tcp -m multiport --dports 21,22,23,993,995,1109,24554,60177,60179 -j DROP
-A OUTPUT -p udp -m multiport --dports 993,995,1109,24554,60177,60179,61234 -j DROP

[xiyoulzl]

@datocp 谢谢哈
我现在把服务器 对外的端口请求
只允许 80 443 这类
就没有这个问题了