学林单片机单片机入门学习基础入门教程每日一题 → 服务器被植入挖矿病毒解决办法


  共有868人关注过本帖平板打印

主题:服务器被植入挖矿病毒解决办法

美女呀,离线,留言给我吧!
18538579903
  1楼 个性首页 | 博客 | 信息 | 搜索 | 邮箱 | 主页 | UC


加好友 发短信
等级:新手上路 帖子:19 积分:256 威望:0 精华:0 注册:2017-8-21 12:07:14
服务器被植入挖矿病毒解决办法  发帖心情 Post By:2017-8-28 16:16:51

服务器被植入挖矿病毒解决办法 上午重启服务的时候,发现程序启动死慢,用top命令查看了一下,cpu被占用接近100%,所以无法运行新程序,通过top命令然后输入P,就能看到有两个程序几乎占用了所有的CPU,占用率为700%左右,程序名称为:minerd和AnXqV两个,通过搜索知道是挖矿程序,通过kill命令及pkill命令是无法直接解决的,找到了一个教程,http://www.cnblogs.com/zhouto/p/5680594.html,参考的这个进行的处理,基本上搞定了,不过里面有很多细节的地方这里记录下来。 1、关闭访问挖矿服务器的访问: iptables -A INPUT -s xmr.crypto-pool.fr -j DROP 和 iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP 2、找到minerd程序: find / -name minerd* 发现程序在/opt下面,同时发现另外的一个异常文件 KHK75NEOiq33和minerd 3、去掉执行权限 chmod -x KHK75NEOiq33 minerd 4、杀掉进程,kill或pkill随你喜欢 pkill minerd pkill AnXqV 5、清除定时任务: systemctl stop crond 我们的系统因为没有其他定时任务,所以可以直接这样,如果有需要自己手动备份自己的定时任务,然后清理掉其他的定时任务,情景分析后处理 6、清除文件 除了opt下面的两个异常文件需要清除,/tmp文件夹下也有文件需要清除,Aegis- AnXqV ddg.217 ddg.218 ddg.219 duckduckgo.12.log duckduckgo.17.log duckduckgo.18.logduckduckgo.19.log 这里的文件有个duckduckgo的,大约是FQ用的搜索对应的进程有ddg.217/218/219 7、清除未知的授权 进入 ~/.ssh/目录,发现多个异常文件,包括authorized_keys、known_hosts等,需要移除authorized_keys中的未知授权,这里可以看到有REDIS000…的授权key,我们自己没有设置过,所以直接删除之 8、元凶分析 有说是redis低版本存在的一个漏洞,有人利用这个漏洞提升权限,然后放置了挖矿工具,所以就将默认的端口改了,密码改了,重新启动了服务,基本上能过一段时间了

支持(0中立(0反对(0单帖管理 | 引用 | 回复 回到顶部

返回版面帖子列表

服务器被植入挖矿病毒解决办法








签名