[問題] 安裝套件後不斷送出流量(300G)到中國

[rich197088 (Jasper)]

 大家好

 如題

 最近已經弄爆了好多個GCP的帳號額度

 原本以為是被人攻擊，後來裝了iftop和vnstat監控

 發現都是流量流出到大陸那邊，封了一個他換一個，抓了三個IP如下：



   43.240.158.165

   122.246.16.22

   203.107.32.245



 確定都是大陸那邊的，直接Google了一下發現都是高防伺服器(?)的IP

 但在環境(Ubuntu 16.04 LTS)是乾淨的時候都沒有這種問題

 所以猜測大概是裝了某些套件不乾淨所以虛擬機被當殭屍電腦

 裝的套件太多了，但主要裝的就是Django、MySQL、uWSGI、Channels之類的主流套件

 於是我先暫時用iptables先只允許台灣IP和微信、CloudFlare的流進流出

 可是這不是長久之計，因為之後還是得上線

 而且如果沒有開放其他地方的IP連線，WebSocket不知道為什麼沒辦法連線

 就會在每次 Handshaking 後直接 Disconnect



 想請問一下大家有沒有其他方法可以追蹤根源?

 或是能夠檢測套件安全性的工具? Safety似乎沒辦法找到有問題的套件

 因為比較少接觸Linux，所以想請教有經驗的版友們

 感謝

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.36.195.43
※ 文章網址: https://www.ptt.cc/bbs/Python/M.1534920840.A.FB3.html
推 Sunal: 應該無法 先列出你裝了哪些
真的太多了，有些是GCP剛裝系統就會裝的

aioredis==1.1.0   asgiref==2.3.2   async-timeout==2.0.1

attrs==18.1.0   autobahn==18.7.1   Automat==0.7.0

blinker==1.3   boto==2.38.0   channels==2.1.2

channels-redis==2.2.1   chardet==2.3.0   click==6.7

cloud-init==18.2   command-not-found==0.3   configobj==5.0.6

constantly==15.1.0   cryptography==1.2.3   daphne==2.2.1

Django==2.1   django-mysql==2.4.0   django-redis==4.9.0

django-user-agents==0.3.2   dparse==0.4.1   google-compute-engine==2.8.2

hiredis==0.2.0   hyperlink==18.0.0   idna==2.7

incremental==17.5.0   Jinja2==2.8   jsonpatch==1.10

jsonpointer==1.9   language-selector==0.1   lxml==4.2.4

MarkupSafe==0.23   msgpack==0.5.6   mysqlclient==1.3.13

oauthlib==1.0.3   packaging==17.1   Pillow==5.2.0

prettytable==0.7.2   pyasn1==0.1.9   prettytable==0.7.2

pyasn1==0.1.9   pycurl==7.43.0   pygobject==3.20.0

PyHamcrest==1.9.0   PyJWT==1.3.0   pyparsing==2.2.0

pyserial==3.0.1   python-apt==1.1.0b1+ubuntu0.16.4.2   python-debian==0.1.27

python-systemd==231   pytz==2018.5   PyYAML==3.11

redis==2.10.6   requests==2.9.1   safety==1.8.4

six==1.10.0   ssh-import-id==5.5   Twisted==18.7.0

txaio==18.7.1   ua-parser==0.8.0   ufw==0.35

unattended-upgrades==0.1   urllib3==1.13.1   user-agents==1.1.0

uWSGI==2.0.17.1
※ 編輯: rich197088 (114.36.195.43), 08/22/2018 16:24:57
→ dododavid006: 說來流量確定是從 python 發出來的？
→ dododavid006: 因為我以前常發生的是 reverse proxy 沒設定好被人
→ dododavid006: 當 proxy 用
→ rich197088: 用iftop沒辦法抓是哪個程式發的 所以也是苦手的地方
→ rich197088: 但還沒裝python套件前都沒事 一裝就爆了 整個超卡
→ rich197088: 去看gcp billing details才發現爆炸
→ rich197088: 而且流出的速度是用好用滿的 每秒400MB 隔天就收到
→ rich197088: Google的警告
→ djshen: 有其他可以看哪個process的工具吧
推 Sunal: https://github.com/raboof/nethogs#readme 這我沒試過就是
→ s860134: 能下 ss 嘛?
→ s860134: 有流量的時候下 ss 應該可以看到有流量的 port
→ s860134: 再用 port 查 pid 去追哪個 process 發的
→ s860134: https://imgur.com/OZ6SOtn
→ s860134: 如果你懷疑套建安裝不乾淨，你可以嘗試先打包你 local 端
→ s860134: #1Qot_e4J (Python) [ptt.cc] [問題]如何指定pip到local
→ s860134: 直接安裝你包出來的版本不用 pip 去載線上的
→ rich197088: 好，最近沒有被流出，過幾天再看看，謝謝