当前位置:智汇导航 » 站长资讯 » 资讯文章 » 优化推广 » 文章详细 订阅RssFeed

昨晚服务器差点被删库,吓得我连夜改配置

来源:本站原创 浏览:1415次 时间:2026-10-01

昨晚差点没把我心脏病吓出来。凌晨三点,手机跟抽风似的嗡嗡响。我眯着眼一看,Zabbix报警,CPU飙到100%。

我心想,哪个孙子又搁这爬我站呢?爬起来开电脑,SSH上去一看,MySQL的root密码被改了!当时我脑子就嗡的一下。操,数据库里全是用户订单和推文数据,这要丢了,我特么得去天台排队。

赶紧看进程,有个王八蛋的脚本在狂跑,路径是/tmp/.X11-unix/下面藏了个叫kworker的鬼东西。伪装得挺像,但全是乱码。我直接kill -9,然后查日志,/var/log/secure里全是爆破记录,IP是荷兰的。

说实话,我平时挺注意的,但坑就坑在Redis没设密码,还特么绑的0.0.0.0。那帮畜生就靠这个写了个计划任务,把密钥塞进/root/.ssh/authorized_keys,然后顺藤摸瓜把MySQL也端了。

我当时手都在抖。先别急着删库,得确认数据还在。进MySQL一看,还好,那孙子只是改密码,还没开始删表。赶紧改回来,用mysqld_safe --skip-grant-tables强拆进去,把密码重置。然后一顿操作:

网站运维

  • 把Redis改了,bind 127.0.0.1,加了requirepass,重启。
  • 防火墙直接封了那个荷兰IP段,iptables -A INPUT -s 185.220.101.0/24 -j DROP。
  • MySQL的3306端口从公网撤了,只允许内网跳板机访问。

折腾到早上六点,天都亮了。最操蛋的是,我翻了翻备份,上次全量备份是三天前,增量备份脚本因为磁盘满了没跑成功。妈的,要是真被删了,这三天的数据就没了。

所以今天写这个,就是给各位提个醒。别特么觉得小站没人盯着。我这种日活几千的破站都有人扫,你想想那些大站。

还有,别用弱密码。我见过有人把密码设成admin123,还觉得自己挺聪明。去你大爷的,脚本一秒钟跑一万个。

最后说个实在的,赶紧去检查你的/etc/crontab和/var/spool/cron/,看有没有莫名其妙的定时任务。我昨晚就删了一个叫update.sh的,藏在/var/tmp里。

现在我在纠结要不要把服务器重装,虽然清了后门,但总觉得心里不踏实。算了,先抽根烟,接着查日志。