مشین ہیک ہونے کی علامات

متاثر شدہ مشین شاذ و نادر ہی خراب نظر آتی ہے۔ عام طور پر یہ صرف آپ کی ہدایت سے تھوڑا زیادہ کام کرنے لگتی ہے: CPU گرم ہونا، باہر جانے والا ٹریفک بھیجنا، دوسروں کے پتوں پر دستک دینا۔ آپ جتنی جلدی اسے نوٹس کریں گے، نتائج اتنے ہی کم ہوں گے۔

ابتدائی علامات

• CPU مسلسل 100% پر ہے جبکہ آپ کی طرف سے کوئی لوڈ نہیں — آپ اسے پینل /hosting/vds/m/<id> کے "Overview" میں گراف پر دیکھ سکتے ہیں۔
• باہر جانے والا ٹریفک چوبیس گھنٹے ایک ہی سطح پر — ٹریفک استعمال دیکھیں۔
• ڈسک کی جگہ کسی نامعلوم جگہ غائب ہو رہی ہے۔
• لاگز میں کسی ناواقف پتے سے کامیاب لاگ ان نظر آتا ہے — لاگ ان لاگز دیکھیں۔
• نئے صارفین یا شیڈول شدہ ٹاسک ظاہر ہو گئے ہیں۔
• آپ کے فراہم کنندہ کو آپ کی مشین کے بارے میں شکایت موصول ہوئی ہے — اسپام کی تقسیم یا کسی حملے میں شرکت۔

وہ صورت حال خاص طور پر خطرناک ہے جہاں سب کچھ "صرف سست ہو گیا" ہو: مائنرز جان بوجھ کر مشین کو ناکامی تک نہیں جلاتے تاکہ زیادہ دیر تک نظر نہ آئیں۔

جانچ

top -c
ps auxf
ss -tunp
ss -tnp state established

بے معنی ناموں والے ایسے پروسیس تلاش کریں جو www-data یا کسی دوسرے سروس صارف کے طور پر چل رہے ہوں، اور ناواقف پتوں سے باہر جانے والے کنکشنز کو۔

صارفین اور آٹو اسٹارٹ اندراجات:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

سسٹم ڈائریکٹریز میں حالیہ تبدیلیاں:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

/tmp اور /dev/shm میں قابلِ عمل فائلیں تقریباً ہمیشہ غیر ملکی ہوتی ہیں۔

رسائی کیز:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

شامل کی گئی غیر ملکی کی مشین پر قدم جمانے کا سب سے عام طریقہ ہے۔

اگر تصدیق ہو جائے

"اسے صاف کر کے کام جاری رکھنے" کی کوشش نہ کریں۔ آپ کو قطعی طور پر معلوم نہیں کہ کیا کیا تبدیل کیا گیا ہے: حملہ آور سسٹم کمانڈز بدل سکتا ہے، لہٰذا ps اور ls دونوں آپ کے منہ پر جھوٹ بول سکتے ہیں۔

درست ترتیب:

1. مشین کو بیرونی سروسز سے منقطع کریں، پاس ورڈز اور کیز ہر وہ جگہ تبدیل کریں جہاں وہ استعمال ہوئی تھیں۔
2. تفتیش کے لیے جو کچھ درکار ہو جمع کریں: لاگز، پروسیسز کی فہرست، پہلے مشکوک لاگ ان کا وقت۔
3. صرف ڈیٹا کاپی کریں، قابلِ عمل فائلیں نہیں۔ متاثرہ مشین سے کوڈ کاپی کرنا بیک ڈور منتقل کرنا ہے۔
4. پینل /hosting/vds/m/<id> کے "Access" ٹیب میں سسٹم دوبارہ انسٹال کریں۔
5. پہلے گھنٹے کی سختی سے شروع کرتے ہوئے اسے دوبارہ تعمیر کریں۔
6. اصل سوراخ بند کریں: پرانی ایپلیکیشن، کمزور پاس ورڈ، بغیر پاس ورڈ کے عوامی ڈیٹا بیس۔

حملہ آور عام طور پر کیسے داخل ہوتے ہیں

دوبارہ انسٹال کرنا مہنگا لگتا ہے، لیکن یہ ایسی مشین سے کم مہنگا ہے جس پر آپ کسی بھی چیز کے لیے مزید بھروسہ نہیں کر سکتے۔ دریافت شدہ مائنر یا اسپام مہم آپ کی مشین کی طرف سے استعمال کی شرائط کی خلاف ورزی بھی ہے، چاہے آپ نے انہیں شروع نہ کیا ہو۔