记一次服务器被攻击经历

    从接手公司服务器两个半星期经常性的无法正常ssh登陆，十次里面有九次半都是显示 ssh_exchange_identification:read:connection reset by peer
    也谷歌很多种原因和解决方案，无非是分两种：一是线程满了，需要更改配置文件把max-session 调大；二则是访问频率太高被服务器列入黑名单了。也跟微软azure那边联系过，一开始推测是因为接入的VPN不稳定可能会导致占用线程，然而问题始终没有得到解决。
    后来偶尔一次终于登陆到服务器，就copy了所有的log文件让微软技术人员帮忙排查一下，结果发现是来自苏州的一个ip从十月一号就开始频繁尝试通过root账户登陆服务器，最为频繁是一个小时尝试登陆1300次，难怪我始终无法正常登陆了。最终确定了黑客的胜利是十一月二号早晨我尝试登入服务器，发现密码错误了，显示authentication failed，跟微软那边技术人员一讨论认为十有八九是被黑了，到中午再尝试登入的时候直接显示port 22： connection refused，明显sshd的config文件已经被修改了，可以百分之百肯定服务器被黑了。
       这次服务器被黑事件可以总结一下，就是如果发现 connection reset by peer这样的问题，而自己这边既没有太过频繁的尝试登陆并且知道会登陆服务器的人不可能太多，那么十有八九就是服务器正在遭受暴力攻破。如果能登陆进服务器的话最好调一下/var/log/secure文件看一下访问记录，把不明的ip 在/etc/hosts.allow 进行封禁
 

后续：微软技术人员后来又发现提醒服务器应该是遭受了DDOS攻击，简单来说就是通过大量的访问占用服务器资源导致真正使用者无法正常工作。由于服务器跟公司内网连接，黑客还有可能会攻击整个公司的内网，所以立刻汇报上级让他们删掉了虚拟机。总的来说从确认被攻击到被攻陷这段时间还是感觉很紧张刺激的，也可能我是个肉鸡没见过大世面。另一方面我对黑客行为真是有点感兴趣，有精力的话想好好学一些网络安全方面的知识，有机会的话成为黑客或者成为一个反黑客。