1 、故障描述
某次某用户紧急反馈核心数据库自动备份失败，备份软件日志显示 “ 开始执行 RMAN 备份 ” 后无后续记录。远程排查后发现：手工发起 RMAN 本地备份，执行几分钟后被强制终止（进程状态为 “Killed” ）；
测试 expdp 逻辑备份，启动 1 分 20 秒后同样被强制终止；
执行 `cp` 命令拷贝 7GB 非数据库文件，过程中被强制终止。
核心数据库备份任务中断，若未及时恢复，可能导致数据丢失风险，用户非常关注。
2 、根因分析
（ 1 ）、初步排查
工具与资源检查：验证 RMAN 脚本、 expdp 参数文件无配置错误；通过 `top` 、 `iostat` 监控，备份及文件拷贝时 CPU 使用率＜ 30% 、内存空闲＞ 40% 、磁盘 IO 等待＜ 5% ，排除资源不足或工具本身故障。
现象扩展验证：发现 RMAN （块级备份）、 expdp （逻辑导出）、 `cp` （文件拷贝）均涉及 “ 持续大文件读写 ” ，且均被终止，判断问题为 “ 系统级进程拦截 ” ，而非单一工具异常。
（ 2 ）、关键定位
排除安全软件干扰：与客户反复确认，服务器未安装任何杀毒软件或终端防护工具，排除常规安全软件误杀可能。
进程追踪分析：通过使用 `audit` 工具配置监控规则（ `auditctl -a exit,always -F arch=b64 -S kill -F key=catch_kill` ），捕获到 RMAN 、 expdp 、 `cp` 进程均被同一未知进程发送 `SIGKILL` 信号终止。
（ 3 ）、根因溯源
系统日志显示， 7 月 28 日 22:00 ，该 IP 地址通过暴力破解（ 10 分钟内 237 次尝试），最后一次成功登录服务器；
8 月 1 日 20:01 ， `crontab` 被恶意修改，新增定时任务用于木马持久化启动；
数据库防火墙 IP 限制规则被清空，解除攻击后续操作限制。
攻击者通过暴力破解入侵数据库服务器，植入具备 “ 进程监控与终止 ” 功能的木马程序，通过定时任务实现持久化运行。木马专门拦截 “ 持续大文件读写进程 ” （包括 RMAN 、 expdp 备份及 `cp` 拷贝），目的是破坏数据备份机制，可能为后续勒索或数据破坏铺垫。
3 、解决方案
注释 `crontab` 中恶意定时任务，恢复数据库防火墙 IP 限制规则；
重启服务器后验证： RMAN 备份、 expdp 导出、 `cp` 拷贝均正常完成，无中断现象。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/30310891/viewspace-3110301/ ，如需转载，请注明出处，否则将追究法律责任。
