ITPub博客

首页 > 云计算 > 公有云实践 > 分享一次服务器被挖矿的处理方法

分享一次服务器被挖矿的处理方法

原创 公有云实践 作者:java06051515 时间:2019-12-10 17:12:29 0 删除 编辑

问题现象:

  • CPU的使用率一直100%
  • 服务器卡顿,无法正常使用

疑似原因:

  • 系统密码较弱被破解
  • 安装的程序有漏洞被不法分子利用
  • 等等

排查步骤:

  • 使用top命令观察占用cpu程序的PID(注:恶意程序的名称千奇百怪)


    Alt text

  • 通过PID查看该程序所在的目录:ls /proc/XXX/

    avatar

  • ​ 执行ll /proc/14202 查看该程序运行的目录

    avatar

  • 进入该目录并进行查看都有哪些文件


    avatar

    avatar

  • 将这些文件的权限全部修改成000,使这些程序无法继续执行:chmod 000 -R *


    avatar

  • ​ 以上基本可以找出恶意程序所在的目录了,接着我们将该程序kill 掉即可


    avatar

  • 持续观察即可(该示例通过观察30min,该恶意程序继续没有再执行)


    avatar

    补充:

  • 建议执行crontab -l 查看是否有可疑计划任务在执行,如有请及时删除(crontab -r)

  • 通过上面的排查步骤我们可以看到cron程序是运行在/root/.bashtemp/a目录下的,但/root/.bashtemp/目录下还有很多这样的程序,所以也要执行:chmod 000 -R * 将所有恶意程序的权限清除

  • 一般来讲通过以上步骤可以将恶意程序干掉,但不排除不法分子还留有其他后门程序,为了避免类似情况发生,建议保存重要数据后重装操作系统

  • 后续请对服务器做安全加固,以免再次被入侵,比如更改默认远程端口、配置防火墙规则、设置复杂度较高的密码等方法

作者:董双磊

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/31559758/viewspace-2667801/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2018-10-26

  • 博文量
    118
  • 访问量
    90438