我最近有一个FTP攻击，其中3个文件被复制到我的域的公共HTML目录。 （看起来FTP密码已经被盗用了，但是我仍然在研究这个）。奇怪的是，FTP日志logging了5个独立的IP地址，这些IP地址在同一次攻击中涉及到。 我检查了下面日志摘录中显示的IP。 据http://www.all-nettools.com/toolbox/smart-whois.php知识产权起源于奥地利，波兰，巴西，以色列和瑞典。
3个违规文件是“mickey66.html”，“mickey66.jpg”和“canopy37.html”， – 他们可以看到他们在日志额外…
2010-06-17T21：24：02.073070 + 01：00 webserver pure-ftpd：（[email protected]）[INFO] kingdom现在登入
2010-06-17T21：24：06.632472 + 01：00 webserver pure-ftpd：（[email protected]）[INFO] kingdom现在登入
webmaster pure-ftpd 🙁 [email protected]）[公告] /home/kingdom//public_html/mickey66.html上传（80字节，0.26KB /秒）
2010-06-17T21：24：07.364313 + 01：00 webserver pure-ftpd 🙁 [email protected]）[INFO]注销。
2010-06-17T21：24：08.711231 + 01：00 webserver pure-ftpd：（[email protected]）[INFO] kingdom现在登入
2010-06-17T21：24：10.720315 + 01：00 webserver pure-ftpd 🙁 [email protected]）[NOTICE] /home/kingdom//public_html/mickey66.jpg上传（40835字节，35.90KB /秒）
2010-06-17T21：24：10.848782 + 01：00 webserver pure-ftpd 🙁 [email protected]）[INFO]注销。
2010-06-17T21：24：18.528074 + 01：00 webserver pure-ftpd 🙁 [email protected]）[INFO]注销。
2010-06-17T21：24：22.023673 + 01：00 webserver pure-ftpd：（[email protected]）[INFO] kingdom现在登入
2010-06-17T21：24：23.470817 + 01：00 webserver pure-ftpd 🙁 [email protected]）[NOTICE] /home/kingdom//public_html/mickey66.html上传（80 bytes，0.38KB / sec）
2010-06-17T21：24：23.655023 + 01：00 webserver pure-ftpd 🙁 [email protected]）[INFO]注销。
2010-06-17T21：24：26.249887 + 01：00 webserver pure-ftpd：（[email protected]）[INFO] kingdom现在login
2010-06-17T21：24：28.461310 + 01：00 webserver pure-ftpd 🙁 [email protected]）[NOTICE] /home/kingdom//public_html/canopy37.html上传（80 bytes，0.26KB / sec）
2010-06-17T21：24：28.760513 + 01：00 webserver pure-ftpd 🙁 [email protected]）[INFO]注销。
我不知道查询符号（？）代表的用户是什么，这是“根”。 无论如何，任何人都可以阐明这一切吗？
一个非常小的bot网？ 😉
可能来自其他受损机器，而不是来自小孩自己的知识产权。
看看fail2ban和denyhosts。
请注意，除非你真的需要FTP，否则FTP是一个糟糕的服务。 Subversion或类似的维护一个网站的一个更好的方法，至less使用安全的SSH复制，如果你需要做非版本上传。
他们可能使用开放代理服务器。
听起来像你的服务器是由僵尸networking
而不是一个僵尸networking，FTP用户/密码（绝对是基于你提供的日志而被破坏的）被传递到IRC上，一些黑客在networking上遭到攻击，运行他们的脚本，这些脚本会自动修改并添加远程shell到机器。