作者： 经略小项

服务器成为“肉鸡”的处理办法

肉鸡也称傀儡机，是指可以被黑客远程控制的机器。比如用”灰鸽子”等诱导客户点击或者电脑被黑客攻破或用户电脑有漏洞被种植了木马，黑客可以随意操纵它并利用它做任何事情，例如作为服务器发包，用作DDOS攻击源。

服务器被肉鸡后危害非常大，需要立即停机并且重重做系统。重做系统操作可以使服务器恢复至刚启动的状态，是在服务器遭遇系统故障时的一种恢复手段。需要注意的是，重装系统会导致 系统盘 的内容全部丢失，请一定注意系统盘数据在本地有相关备份。在需要保留系统运行数据的情况下，强烈建议您在平时对数据进行备份！

重置系统后需要做系统加固，避免服务器再次被入侵。

1、服务器设置复杂的登陆密码，建议密码长度不小于8位并且使用大写字母/小写字母/数字/特殊字符组合，避免使用弱密码登陆。

2、修改云主机默认登陆端口

Windows系统默认3389端口（方法：https://www.homedt.cn/1352.html）

linux系统默认22端口（方法：https://www.homedt.cn/1356.html）

3、常见Web应用安全部署设置

WDCP、TOMCAT、Apache、Nginx、Jekins、PHPMyAdmin等Web服务管理后台不要使用默认密码或空密码，务必使用复杂密码（字母+数字+特殊符号，包含大小写，并保证10位及以上字符）；不使用的管理后台建议直接关闭，否则黑客有可能直接控制您的服务器。

4、安装安全防护软件，如安全狗、云锁等。

在使用移动网络访问服务器中的服务时，如果网络存在异常，可以通过以下方式进行定位：

• 获取手机移动端的本地公网IP地址。在手机端打开浏览器，访问网站 https://www.ipip.net/ip.html，在返回的结果中即可看到您手机的公网IP地址。
• 获取手机移动端到用户访问的网站的路由跟踪结果。根据移动端的系统不同，iPhone iOS 或 Android，获取方式也不同。
• 也可以手机直接访问网页http://www.webkaka.com/Tracert.aspx进行路由跟踪测试。

 iPhone iOS 路由跟踪探测

1. 首先安装软件 Network Ping Lite，可以通过 App Store下载。

2. 打开 Network Ping Lite 软件后出现下面的界面：

3. 选择 Traceroute 即进入路由探测界面：

4. 在地址栏里输入所要访问的云产品的地址，然后点击 Start 即可开始探测，结束后保存截图。

Android 系统路由跟踪探测

1. 首先安装软件 Traceroute，可以通过各种手机助手或应用市场等来安装。

2. 配置Traceroute：

a) 打开 Traceroute 软件后出现下面的界面：

现在应用市场工具较多，随便选一款支持的即可

点击菜单选择traceroute，输入需要测试的域名或者IP，点击开始即开始测试，结束后保存截图即可。

业务端口无法访问可能是端口拦截造成的。当客户端访问目标服务器时，如果能 ping 通，业务端口却无法访问，可能是链路中的相关节点拦截了端口所致。您可以利用端口可用性探测的相关工具，执行测试步骤，验证是否有节点拦截了端口。

Linux 环境下端口可用性探测工具介绍

traceroute 是几乎所有 Linux 发行版本预装的网络测试工具，用于跟踪 Internet 协议（IP）数据包传送到目标地址时经过的路径。您可以通过 traceroute 工具进行端口可用性探测。

traceroute 通过发送 TCP 数据包向目标端口进行探测，以检测从数据包源到目标服务器的整个链路上相应端口的连通性情况。traceroute 端口可用性探测常见用法如下：

traceroute [-n] -T -p <目标端口号> Host

示例：

[root@liuxw-test6 /]# traceroute -n -T -p 22 103.224.222.222
traceroute to 103.224.222.222 (103.224.222.222), 30 hops max, 60 byte packets
 1  * * *
 2  169.254.169.3  1.004 ms  1.019 ms  0.952 ms
 3  * * *
 4  * * *
 5  100.127.229.2  10.769 ms 100.127.229.14  2.480 ms 100.127.229.2  11.005 ms
 6  100.127.229.168  8.749 ms 100.127.229.170  7.061 ms 100.127.229.168  7.828 ms
 7  103.224.222.222  0.730 ms  0.593 ms  0.603 ms

参数说明

• -n 直接使用 IP 地址而非主机名称（禁用 DNS 反查）。

• -T 通过 TCP 探测。

• -p 探测目标端口号。

• Host 目标服务器域名或 IP。

更多关于 traceroute 的用法，您可以通过man帮助查阅。

Linux 环境下的抓包工具介绍：

Linux 环境下，通常通过 tcpdump 来进行抓包和分析。它是几乎所有 Linux 发行版本预装的数据包抓取和分析工具。

tcpdump 的用法如下：

tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ] 
         [ -c count ] 
         [ -C file_size ] [ -G rotate_seconds ] [ -F file ] 
         [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ] 
         [ --number ] [ -Q in|out|inout ] 
         [ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ] 
         [ -W filecount ] 
         [ -E spi@ipaddr algo:secret,... ] 
         [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ] 
         [ --time-stamp-precision=tstamp_precision ] 
         [ --immediate-mode ] [ --version ] 
         [ expression ]

常见参数说明（区分大小写）：

•  -s    设置数据包抓取长度。如果置为0，则表示自动选择合适的长度来抓取数据包。

•  -w   将抓包结果导出到文件，而不是在控制台进行分析和打印输出。

•  -i     指定需要监听的接口（网卡）。

• -vvv  输出详细的数据交互信息。

• expression  一个正则表达式，用作过滤报文的条件。主要包含如下几类：

• 关于类型的关键字：包括 host（主机），net（网络），port（端口）。

• 确定传输方向的关键字：包括 src（源），dst（目标），dst or src（源或目标），dst and src（源和目标）。

• 使用协议的关键字：包括 icmp，ip，arp，rarp，tcp，udp等类型。

常见用法和示例输出：

1.抓取指定网卡指定端口的交互数据

• 操作指令

tcpdump -s 0 -i eth0 port 22

• 示例输出

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
14:18:56.252835 IP 192.168.0.12.ssh > 39.109.125.69.64521: Flags [P.], seq 192:416, ack 1, win 502, options [nop,nop,TS val 958848763 ecr 1952537], length 224
14:18:56.362251 IP 39.109.125.69.64521 > 192.168.0.12.ssh: Flags [.], ack 192, win 254, options [nop,nop,TS val 1952552 ecr 958848727], length 0

2.抓取指定网卡发送给指定 IP 上指定端口的交互数据，并在控制台输出详细交互信息

• 操作指令

tcpdump -s 0 -i eth0 -vvv port 22

• 示例输出

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
14:21:59.111590 IP (tos 0x10, ttl 64, id 59051, offset 0, flags [DF], proto TCP (6), length 580)
    192.168.0.12.ssh > 39.109.125.69.64521: Flags [P.], cksum 0x679d (incorrect -> 0x73cf), seq 272:800, ack 1, win 502, options [nop,nop,TS val 959031621 ecr 1970822], length 528
14:21:59.241532 IP (tos 0x0, ttl 36, id 6843, offset 0, flags [DF], proto TCP (6), length 52)
    39.109.125.69.64521 > 192.168.0.12.ssh: Flags [.], cksum 0xc5b3 (correct), seq 1, ack 800, win 256, options [nop,nop,TS val 1970839 ecr 959031589], length 0

3.抓取发送至指定 IP 的 ping 交互数据，并在控制台输出详细交互信息

• 操作指令

tcpdump -s 0 -i eth0 -vvv dst 103.224.222.222 and icmp

• 示例输出

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
14:29:02.537561 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.0.12 > 103.224.222.222: ICMP echo request, id 30830, seq 12, length 64
14:29:03.537605 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.0.12 > 103.224.222.222: ICMP echo request, id 30830, seq 13, length 64
14:29:04.537571 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.0.12 > 103.224.222.222: ICMP echo request, id 30830, seq 14, length 64
14:29:05.537564 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.0.12 > 103.224.222.222: ICMP echo request, id 30830, seq 15, length 64

4.抓取系统内所有接口数据并保存到指定文件

• 操作指令

tcpdump -i any -s 0 -w test.cap

• 示例输出

tcpdump: listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes

Windows 环境下的抓包工具介绍

Windows 环境下，通常通过 Wireshark 来进行抓包和分析。它是 Windows下最流行的免费开源的数据包抓取和分析工具。

Wireshark抓包步骤：

1.安装后打开软件。

2.选择菜单 捕获 > 选项，弹出如下图所示WireShark 捕获接口配置图：

3.如上图所示，根据接口名称或对应的 IP 地址选定需要进行抓包的网卡，然后点击 开始 启动抓包。

4.一段时间后，选择菜单 捕获 > 停止，停止抓包。

5.选择菜单 文件 > 保存，将抓包结果保存到指定文件。