记录一次服务器被黑解决过程

一、查看CPU和内存

昨天在使用Xshell连接服务器时，刚开始还很正常，到后面不知道为什么越来越卡，收入一条简单的ls命令都半天没有反应了，首先我们都怀疑是不是CPU或者内存出现了问题，然后使用了Top命令查看了下，发现只有一个ElasticSearch（占用了60%内存）和docker container（偶尔占用了60%CPU），开始以为着是个原因，然后就重启了服务器，发现仍然有问题，没有任何缓解。然后经过一系列的查看，因我们使用的是阿里云服务器，在阿里云监控页面中看到这台服务器的带宽一直溢出（我们设置外网带宽为1M），而实际是1.08M的速度在往外输出，这是什么原因呢？这是我们的测试服服务器，一般不会有很多人访问的。

二、验证并解决问题

我们使用一台内网服务器（阿里云的另一台服务器，两台服务器在同一内网环境下），通过

ssh root@192.168.74.131 (ssh 用户名@ip)

连接到有问题的服务器，然后发现一切正常，没有任何问题，这更是我们确认了我们的推论，然后找到了一个实时监控带宽的工具iftop，使用命令

iftop -i eth1 -n -P

就可以监控eth1网卡驱动上的带宽数据，有流出和流入的，还有端口号，对方的ip及进程号，然后就发现两个可疑的104.28.30.66和104.28.31.66（美国IP），使用多个进程号轮询去占用带宽（每个进程几百k每秒），看起来好像没问题，但是多个进程就使带宽占满了，致使服务器外网无法访问的问题，然后我们使用iptables把这两个可以Ip加入黑名单，测试后发现完满解决。

三、总结

这次还是很有收获的，学习到了如何解决服务器被黑的整个流程，虽然很多命令还不是很熟，以后要多多学习，比如iptables，ssh，还有一个守护进程自动重启的知识，下次再总结。