记一次Minecraft服务器被感染蠕虫病毒和被DDoS攻击的发现、防御与修复

DDOS部分

我一直都对DDoS很畏惧，相信大家对DDoS有所耳闻。

DDoS是什么？

DDoS是一种较严重的网络攻击方式，他的全名是Distributed denial of service，分布式拒绝服务攻击。

原理是什么？

分布式拒绝服务攻击DDoS是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布的、协同的大规模攻击方式。单一的DoS攻击一般是采用一对一方式的，它利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。与DoS攻击由单台主机发起攻击相比较，分布式拒绝服务攻击DDoS是借助数百、甚至数千台被入侵后安装了攻击进程的主机同时发起的集团行为。 [3] 

一个完整的DDoS攻击体系由攻击者、主控端、代理端和攻击目标四部分组成。主控端和代理端分别用于控制和实际发起攻击，其中主控端只发布命令而不参与实际的攻击，代理端发出DDoS的实际攻击包。对于主控端和代理端的计算机，攻击者有控制权或者部分控制权．它在攻击过程中会利用各种手段隐藏自己不被别人发现。真正的攻击者一旦将攻击的命令传送到主控端，攻击者就可以关闭或离开网络．而由主控端将命令发布到各个代理主机上。这样攻击者可以逃避追踪。每一个攻击代理主机都会向目标主机发送大量的服务请求数据包，这些数据包经过伪装，无法识别它的来源，而且这些数据包所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。甚至导致系统崩溃。

设备详情：

系统：Ubuntu20.04

内存：8GB

Minecraft服务器和网站服务器

域名已备案

被攻击造成的情况

那时我用Tobby进行ssh远程控制，发现一直无法连接，然后手机上出现了一条腾讯云（我的服务器是腾讯云服务器）发过来的短信，提示我的服务器遭到DDoS网络攻击，现已将攻击者IP封禁，然后在MC服务器交流群中很多人都在刷服务器进不去了，两个小时后，IP仍然在堵着我也进不去，我开始认为是网站（discuz3.4)的漏洞让黑客运用并攻击我们服务器，但我的网络防御技术任然是太小了，所以我只好在工信部官网进行举报，但我还没举报时，服务器的攻击似乎结束了，我可以进得去ssh了，玩家也说可以进去了，这件事情就这样结束了。

原因分析

我们服务器的玩家只有估计20人比较活跃，相当于影响度特别小，在社会上几乎不存在，可是我们为什么会遭遇DDoS攻击呢，应该不是漏洞，DDoS是一种拒绝服务的攻击，而漏洞攻击，却是直接对文件的一系列篡改的活动（可能不对，希望各位能够在评论区指点）说明：服务器是由一个人泄露我们服务器的IP在暗网或2b2t进行转发或请求攻击，而这个人，应该就是对服务器很不满的人，目前正在全面清查，该报警就报。

蠕虫病毒部分

这也是我们服务器第一次被感染病毒的事例

发生情况

当时我正在重启服务端（不是重启服务器）然后发现后台输出了一大堆红色错误代码，一直在输出，然后我没有在意（因为我服务器的插件经常都会因为不兼容而报错，但最后仍然能成功运行，所以我就没有管他，服务端开启成功，我便进入了我的服务器，结果报错disconnet连接中断，发现ProtocolLib加载错误，我便更换ProtocolLib插件至最新版本4.8.0，可以进入世界，但是很多插件都没有正常运行，我便输入/pl查看插件载入情况，结果发现所有插件除了刚刚载入的插件protocollib正常运行，其他的全部载入失败，我开始怀疑跟那一大段红色代码有所关系。发现所有插件报错java.net.NoRouteToHostException，我在百度上查找java.net.NoRouteToHostException报错的情况，都是说无法连接至远程主机，我关掉了防火墙，卸载掉MySQL数据库，仍然在报错，我无法判断，于是向QQ开服技术交流群询问错误原因，而他们的回答是：你中招了！

没错！我中了插件蠕虫病毒，我便开始检查了插件jar包内的文件是否异常，结果多出了两个文件：

Updater.class

plugin-config.bin

这些文件我都不知道是干什么用的，以我的技术完全不知道怎么反编译和分析病毒样本，我确定我感染了蠕虫后，立刻重装系统，并将我的电脑重装系统。

原因分析

这次被病毒感染原因应该是我在不明网站下载破解版插件，并且这个插件有后门！

最后

为了大家的服务器安全，我们千万不要到第三方网站下载破解版插件，要购买正版插件，不然后果不堪设想！！！