linux服务器僵尸网络
linux服务器僵尸网络
凌晨三点，器网络我的僵尸手机被阿里云的报警短信震醒。一台跑着Nginx的器网络CentOS服务器，CPU占用飙到97%，僵尸带宽跑满2Gbps——可那台机器上只挂着一个日活不到百人的器网络小网站。登录上去，僵尸`top`命令刷出来的器网络进程列表里，有个叫`kworker`的僵尸进程占着300%的CPU。名字看着像内核线程，器网络但PID是僵尸28471，明显是器网络用户态进程伪装的。
这就是僵尸典型的Linux僵尸网络节点。攻击者利用你服务器上某个未打补丁的器网络漏洞——可能是Log4j，也可能是僵尸某个老掉牙的WordPress插件——种下木马，然后通过IRC或HTTP信道连接C2服务器，器网络等待指令。中招的机器会变成肉鸡，被用来发DDoS流量、扫描全网漏洞、或者挖门罗币。更阴险的是，很多木马会篡改`/etc/ld.so.preload`，把系统命令全换成假的，你`ps`看到的进程列表都是过滤过的假象。
我处理过最离谱的一次，是在一台数据库服务器上发现木马把`sshd`的二进制文件替换了，每次有人登录，密码就通过DNS隧道外传。管理员用`rkhunter`扫了三天没扫出来，最后是我手动比对`/usr/sbin/sshd`的md5值才发现的。这种级别的隐蔽性，靠常规安全软件根本防不住。
那怎么防？核心思路就一句话：减少攻击面，监控异常行为。具体做三件事。
第一，别用root跑服务。很多木马就是靠提权漏洞进来的，你平时用普通用户跑Nginx、MySQL，就算被种了马，权限也有限。我见过最惨的案例，某公司把所有服务都跑在root下，被种了rootkit后，攻击者直接改了内核模块，重装系统都清不干净。
第二，盯住出网流量。正常服务器不会半夜两点往海外IP发大量数据包。用`tcpdump`或者`iftop`定期看一眼，发现异常立刻断网隔离。别依赖云厂商的防火墙告警——那些规则太粗，很多慢速C2通信根本触发不了。
第三，也是最重要的，保持系统更新。Linux僵尸网络90%的感染路径都是已知漏洞，CVE-2021-44228（Log4j）到现在还有人在打，因为总有公司懒得重启服务。你哪怕每月只做一次`yum update`，就能挡掉大半攻击。
说个反直觉的事：很多僵尸网络不是被安全工程师发现的，而是被IDC机房发现的。因为服务器带宽跑满后，同一机柜的其他客户开始投诉网络卡顿。所以如果你发现自己的服务器突然对外发包量大增，别犹豫，先拔网线再排查。
最后提醒一句：别以为装了杀毒软件就万事大吉。Linux上的Rootkit技术比Windows成熟得多，很多木马直接改内核数据结构，用户态工具根本看不到。真遇到疑似入侵，最靠谱的办法是——备份数据，重装系统，然后好好想想密码是不是太简单了。
我见过太多运维因为嫌麻烦不重启，结果整台服务器变成矿机。记住，安全不是装个软件就完事，是持续盯着的活。你要是不想半夜被报警短信吵醒，现在就花十分钟看看那台闲置服务器——说不定它已经成了僵尸网络的一部分。