昨天我的网站被黑了，/bin 目录，服务器程序和数据库都被删除了

[raysmond]

我是 https://www.expper.com 网站的站长，上个月才上线。没什么名气。不知道为何被盯上了，昨天阿里云云盾检测到服务器密码被破解。我重置密码才登录服务器，发现 /bin 目录，服务器目录， postgresql 数据库文件, .ssh 目录都被删除了，几乎不能用了，当时我的内心是奔溃的。

还好我有备份数据库的习惯，写了个脚本每天备份，万幸这儿备份目录没有被删除啊。
于是我重新初始化磁盘，重新安装各种服务，重新做了安全措施，改密码，搞到晚上一点才上线。

我搞不懂黑客为什么要攻击我的网站服务器。也不知道是如何攻破的。

请问大家有这样的经历吗？你们是如何保证服务器的安全的？

[atan]

阿里云 SSD 的是没有自动快照的，一直不明白为啥

[raysmond]

@atan 是啊，搞不懂

[msg7086]

「写了个脚本每天备份」
为啥不用 MySQL 复制功能。

[raysmond]

@msg7086 MySQL 我都没用

[msg7086]

@raysmond 所以才说要用啊。另外 Redis 也支持复制啊。不知道你用的是哪家的。

[raysmond]

@msg7086 不用 MySQL ，单机跑 Redis 也暂时不需要复制

[lovelynn]

redis 最近爆了一个漏洞 http://www.freebuf.com/vuls/85021.html
看来就是这个情况了，可以远程写 SSH 公钥，这个洞都玩了好多天了。。。解决方案
1 ）禁止使用 root 权限启动 redis 服务；
2 ）对 redis 访问启用密码认证，并且添加 IP 访问限制；
3 ）尽可能不对公网直接开放 SSH 服务。

[msg7086]

@raysmond 复制的主要目的是备份而不是读写分离负载均衡。
重要网站、商业网站，为了防止数据丢失的话，复制备份比每日 dump 要好得多，因为前者是实时的。
就算是机房被轰炸了，你也能拿到最后 1 秒钟那个时刻的数据。
（ Redis 的话是最后几分钟的数据）

当然如果本来就没多少写入的话倒是无所谓……

[lovelynn]

另外一点，黑客可能不是针对你，而是在钟馗之眼类似的这种站点搜索到了楼主服务器有 redis 漏洞而已。脑补黑客独白：我不是指你是傻逼，而是在座的 redis 都是傻逼 2333333

[raysmond]

@msg7086 小网站暂时用不着读写分离或负载均衡。数据库 replication 倒是做备份的一个不错的选择。数据库复制又不是 MySQL 才有的功能。

anyway ，小网站，数据量小。数据库复制，负载均衡留给以后考虑

[raysmond]

@lovelynn 嗯，前面 1 ， 2 已经做了

[msg7086]

@lovelynn 发行版自带的 redis 应该都是无权用户。
如果抓到漏洞被黑，肯定是运维能力不到家了……

[lovelynn]

@raysmond 这个洞刚爆出来的时候，玩了好久国外的站。楼主也是脸差，估计漏洞搜索引擎优先级排名很高。。一般也就玩搜索引擎搜出来的前几个。。

[lovelynn]

@msg7086 恩 说的很有道理~~~

[raysmond]

@lovelynn
@msg7086 Redis 已经 bind 了本地，启用密码，已非 root 用户运行，目前一切正常。这个漏洞太明显了。

[raysmond]

@hoythan 这个问题会在某些浏览器中出现，已经 fixed ，以后不会出现了

[tSQghkfhTtQt9mtd]

完全没想通阿里既然都检测到是“被破解”为什么不拦下来。。

[linjuyx]

@raysmond 阿里云 io 优化实列没有自动快照

[raysmond]

@linjuyx 很奇怪，居然没有，这不科学