解决阿里云ECS服务器宝塔后台显示流量长期跑满带宽的异常

文章目录[隐藏]

前言
现象
- 排查
解决过程
- 初步分析
- 解决方案
总结

前言

最近打开博客，前台还算正常的，但是后台发现有时候可以，有时候卡的要命，特别是编辑文章的时候，半天都打不开，登录宝塔后台，看到上行和下行都是跑满状态，第一猜想，难道被攻击了吗？还是被当肉鸡了，在挖矿呢？

现象

带宽被打满了，我的只有2M小水管，WP后台无法访问，卡出你怀疑人生

排查

重启服务器，没一会，又来了很多流量

带宽还是跑满的

解决过程

首先进入wwwlogs目录，找到access.log日志文件

我的目录在/www/wwwlogs/ 目录下,

使用命令查看最高10条访问量的日志

awk '{print $1}' access.log | sort -n |uniq -c | sort -rn | head -n 10

看到结果36.133.43.108这个IP是最高的，这是刚重启完服务器查看的，如果一段时间查看，可能就不只二千多了

另外查看日志最常用的服务前十个服务

cat access.log |awk '{print $7}'| sort|uniq -c| sort -rn| head -10 | more

还查到一个代理IP:117.121.245.244，后门地址azenv.net 的代理PHP Proxy Judge 文件

初步分析

这是一个反向连接的后门，你以管理登录后，会把你的session和cookie保存在/robots.txt文件里面，这个会向http://azenv.net发送，那么黑客就有了可以登录我服务的权限了。想做看就看黑客的用途了。

解决方案

方案一：阿里云——云防火墙（收费）

最简单的，先在阿里云的服务面板里，找到网络安全，防火墙，保护公网IP开启

效果

明显看到带宽已经恢复正常状态了。

缺点

看试用的样子还不错，但后面就是我穷的缺点了。

方案二：宝塔防火墙

未测试，开通要收费，没有试用期

效果

未知

缺点

穷

方案三：nginx黑名单

在/etc/nginx/conf.d/添加配置文件blackip.conf

vi /etc/nginx/conf.d/blackip.conf

添加名单

#屏蔽单个ip访问
deny IP; 

#允许单个ip访问
allow IP; 

#屏蔽所有ip访问
deny all; 

#允许所有ip访问
allow all; 

#屏蔽整个段：从127.0.0.1到127.255.255.254
deny 127.0.0.0/8;

#屏蔽IP段：从127.45.0.1到127.45.255.254
deny 127.45.0.0/16;

#屏蔽IP段：从127.45.6.1到127.45.6.254
deny 127.45.6.0/24;

效果

最经济实惠的，可行

缺点

麻烦

参考：https://developer.aliyun.com/article/1076925

方案四：小皮面板

这个官方地址：xp.cn，前身就是phpstudy;以前学习PHP项目的时候，有使用过。目录网站防火墙和服务器防火墙，还是免费状态，这些功能宝塔都是要收费的

效果