해킹 공격 문 의 드립니다 . - 물 어 보 기 
 개발 · 활용 기 LIVE 
 구축 · 운영 기 LIVE 
 작업기 LIVE 
 2016 . 10 . 28 02 : 01 : 46 
 해킹 공격 문 의 드립니다 . 
 렙 흥아 
 조회 수 231 	 댓글 7 
 vultr . com vps 를 사용 중 입니다 . 
 티켓 이 열린 것 을 모르 고 며칠 이 지나 vultr 쪽 에서 서버 를 중단 했 다고 티켓 이 와 있 네요 . 
 네 번 째 로 알려왔 고 24 시간 내 로 회신 을 하 지 않 으면 해킹 당한 계정 을 삭제 한다고 합니다 . 
 우분투 14 . 04 / NGINX / PHP 5 . 5 / MYSQL 마리아 디비 이 고 , 
 XE 를 쓰 다가 그누 보 드 가장 최신 버전 으로 변경 한 상태 입니다 . 
 서버 세팅 쪽 은 초보 라 깔 라는 것 만 깐 상태 이 고 
 열 어 놓 았 습니다 . 
 따로 iptable ? ? 등 은 설정 한 것 이 전혀 없 구요 ㅠㅠ 
 아래 는 vultr 에서 남겨준 관련 로그 입니다 . 127 . 0 . 0 . 1 은 제 서버 IP 이 고요 . 
 Your   server   with   IP   127 . 0 . 0 . 1   was   used   to   attack   our   system 
 Here   is   the   log 
 127 . 0 . 0 . 1   -   -   [ 25 / Aug / 2016 : 08 : 22 : 00   + 0200 ]   " GET 
 AppleWebKit / 537 . 21   ( KHTML ,   like   Gecko )   Chrome / 41 . 0 . 2228 . 0   Safari / 537 . 21 " 
 127 . 0 . 0 . 1   -   -   [ 29 / Aug / 2016 : 03 : 47 : 00   + 0200 ]   " GET 
 HTTP / 1 . 1 "   200   2654   "-"   " sqlmap / 1 . 0 . 8 . 19 # dev   ( http : / / sqlmap . org ) " 
 127 . 0 . 0 . 1   -   -   [ 29 / Aug / 2016 : 04 : 03 : 34   + 0200 ]   " GET 
 HTTP / 1 . 1 "   200   31   "-"   " sqlmap / 1 . 0 . 8 . 19 # dev   ( http : / / sqlmap . org ) " 
 127 . 0 . 0 . 1   -   -   [ 29 / Aug / 2016 : 04 : 06 : 25   + 0200 ]   " GET 
 HTTP / 1 . 1 "   200   1453   "-"   " sqlmap / 1 . 0 . 8 . 19 # dev   ( http : / / sqlmap . org ) " 
 127 . 0 . 0 . 1   -   -   [ 29 / Aug / 2016 : 05 : 05 : 42   + 0200 ]   " GET 
 61 . 220 . 191 . 197   -   -   [ 07 / Sep / 2016 : 10 : 38 : 58   + 0200 ]   " GET 
 HTTP / 1 . 1 "   200   1453   "-"   " sqlmap / 1 . 0 . 6 . 53 # dev   ( http : / / sqlmap . org ) " 
 23 . 81 . 140 . 3   -   -   [ 18 / Oct / 2016 : 09 : 18 : 09   + 0200 ]   " GET 
 Gecko / 20100101   Firefox / 49 . 0 " 
 이게 누가 공격 을 한 것 이 고 , VULTR 쪽 에 는 뭐 라고 답변 을 보내 야 할까요 ? 
 혹시 저런 공격 을 막 기 위한 방법 이 있 는지 해결책 을 좀 알 수 주 실 수 있 을까요 ? 
 회원 님 들 위 와 관련 하 여 도움 이 될 만 한 블로그 나 방어 법 을 알려 주 시 면 정말 감사 하 겠 습니다 . ㅠㅠ 
 마신 	 2016 . 10 . 28 02 : 13 : 34 
 일 단 아래 잡히 는 ip 주소 는 흔한 프록시 외국 ip 이 구요 . 
 / auto / epp . php 이 파일 이 뭘 하 는 파일 인지 모르 겠 는데요 . 
 해당 파일 을 이용 해서 sql 명령어 나 기타 명령 으로 해킹 하 는 것 으로 보이 네요 
 / auto / epp . php 파일 이 그 누보 드 에서 무엇 을 하 는지 모르 겠 습니다 . 
 프록시 니 이미 ip 주소 바꿨 을 테 니 ip 차단 해도 무의 해 보이 구요 . 
 / auto / epp . php 파일 이 그 누보 드 에서 어떤 역할 을 하 는 파일 인지 파악 해서 필요 없 으면 삭제 하 시 고 
 필요 하 다면 그 누보 드 쪽 에 문 의 남겨서 해당 파일 에서 보안 을 강화 하 는 게 좋 을 거 같 습니다 . 
 그누 보드 취약점 이 라면 그 누보 드 쪽 에 남기 는 게 더 빨리 해결 할 수 있 을 거 같 습니다 . 
 렙 흥아 	 2016 . 10 . 28 02 : 19 : 02 
 답변 감사 합니다 . / auto / epp . php 라는 경로 와 파일 은 
 실제 서버 에 없 는 경로 와 파일 입니다 . 
 잠시 검색 해 보 니 file 2 ban 등 을 보안 을 위해서 많이 사용 하 는 거 같 은데 
 일단 뭘 해 보 려고 해도 서버 가 내려가 서 제 가 다시 켜 지 지 도 않 고 
 관리자 에게 방화벽 등 해킹 방어 를 위한 시도 를 할 테 니 다시 열 어 달 라고 하 면 열 어 주 는 걸까요 - 0 -?? 
 나 만 의 너 	 2016 . 10 . 28 02 : 25 : 29 
 fail 2 ban 은 진짜 효과 를 보 기 란 어렵 습니다 . 차라리 기진 곰 님 에게 서버 세팅 을 의뢰 하 시 는 게 좋 을 것 같 아요 
 서버 에 초보 시 라면 뭘 해도 같 은 경우 를 재 반복 되 게 됩니다 . 그럴 땐 확실 하 게 서버 에 아 시 는 분 이 손 을 한번 대 주 시 는 게 가장 좋 아요 . 늦 지 않 도록 해결 되 시 길 바랍니다 . 
 마신 	 2016 . 10 . 28 02 : 28 : 19 
 다시 보 니 날짜 가 맨 마지막 이 10 월 18 일 입니다 . 
 로그 를 지웠 는지 아니 면 해킹 후 악 성 코드 등 을 10 일 동안 배포 하 다가 차단 됐 는지 는 모르 겠 네요 
 기진 곰 님 이 서버 전문 가시 니 금전 적 인 문제 만 없 다면 맡기 시 는 게 더 나 을 수 있 을 거 같 습니다 . 
 투데이 	 2016 . 10 . 28 04 : 17 : 17 
 기진 곰 님 이 이 사이트 에서 는 서버 쪽 최강 입니다 . 
 웹 호스팅 을 사용 하 셨 다면 아무래도 해킹 을 안 당하 셨 을 텐데 
 vps 라는 건 전문가 가 아니 면 함부로 손대 면 안 된다고 생각 합니다 . 
 기진 곰 님 께 문의 해 보 세요 . 
 기진 곰 	 2016 . 10 . 28 12 : 15 : 15 
 단지 공격 당하 는 것 으로 서버 를 차단 하 거나 티켓 을 열지 는 않 습니다 . 님 의 서버 가 좀 비 PC 가 되 어서 다른 서버 를 공격 하 고 있 기 때문 에 다른 서버 를 보호 하 기 위해 님 의 서버 를 삭제 하 겠 다는 얘기 입니다 . 즉 님 의 서버 는 이미 오래 전 에 뚫렸 고 , 이제 는 해커 가 님 의 서버 를 사용 해서 다른 서버 를 공격 하 고 있 는 상황 입니다 . 이미 뚫렸 으므로 fail 2 ban 이나 일반 적 인 방화벽 을 추가 하 는 것 은 도움 이 되 지 않 습니다 . 
 / auto / epp . php 는 공격 당한 서버 쪽 에 있 는 파일 입니다 . 님 의 서버 는 공격 당한 것 이 아니 라 공격 을 하 고 있 으니 , 님 의 서버 에 는 없 을 수 도 있 지요 . 아마 그누 보드 의 취약점 을 통해 악성 코드 가 업로드 되 었 거나 , FTP 또는 SSH 계정 이 해킹 되 어 악성 코드 가 설치 된 것 으로 보입니다 . 로그 기록 으로 보 아 sqlmap 이 라는 악 성 코드 인 듯 하 네요 . 
 이게 어디 있 는지 찾 아서 제거 한 후 vultr 에 알려야 합니다 . 
 휘 즈 	 2016 . 10 . 28 15 : 13 : 57 
 님 서버 가 다른 사이트 를 공격 하 고 있 군요 . 
 sqlmap 은 취약 성 침투 테스트 를 하 는 툴 ( 오픈 소스 입니다 . ) 
 2 가지 경우 를 가정 해야 합니다 . 
 1 . 웹 서버 가 뚤린 경우 
 스팸 글 , 댓글 이 있 나 . 
 게시 글 댓글 중 에 악성 스크립트 가 있 는 것 이 있 나 확인 후 제거 . 
 2 . 서버 가 뚫린 경우 
 서버 계정 을 탈 취당 했 다면 답 이 별로 없 습니다 . 
 서버 os 부터 다시 클린 설치 하 시 는 좋 을 듯 합니다 .