服務(wù)被挖礦程序minerd入侵的快速解決方法
今天一早過(guò)來(lái)，運(yùn)維同事發(fā)現(xiàn)服務(wù)器的負(fù)載有點(diǎn)異常，打開(kāi)top一看，發(fā)現(xiàn)有個(gè)進(jìn)程一直占用很高的cpu
在opt目錄下發(fā)現(xiàn)有個(gè)異常文件，是個(gè)命令文件minerd
在確定跟項(xiàng)目不相關(guān)的情況下判斷是個(gè)木馬程序，果斷kill掉進(jìn)程，然后刪除/opt下minerd文件
本想這樣可以解決，誰(shuí)想不到15秒時(shí)間，又自動(dòng)啟動(dòng)起來(lái)，而且文件又自動(dòng)創(chuàng)建，這個(gè)讓我想起了crontab的定時(shí)器，果然運(yùn)維同事一查確實(shí)定時(shí)器存在一條：，果斷刪除處理。再殺進(jìn)程，再刪文件；然并卵，依舊起來(lái)；
百度資料說(shuō)該根源可能是通過(guò)jenkins開(kāi)放外網(wǎng)被黑客入侵導(dǎo)致，接著就把jenkins服務(wù)停止，把外網(wǎng)端口關(guān)閉，順道把服務(wù)器的所有用戶(hù)密碼及ssh改了一遍，再把minerd進(jìn)程殺掉，刪文件，但是還是不行。
繼續(xù)百度各種資料，檢查是否存在其它定時(shí)器，在/var/spool/cron/目錄下發(fā)現(xiàn)有個(gè)root用戶(hù)的定時(shí)器文件，以為找到根源了，再次果斷刪除，結(jié)果，還是沒(méi)有解決；
后面同事在google搜索到了一個(gè)資料，
linux - How can I kill minerd malware on an AWS EC2 instance? - Information Security Stack Exchange
各種文件刪除都不起作用，原來(lái)該木馬程序注冊(cè)了一個(gè)“lady”的服務(wù)，而且還是開(kāi)機(jī)啟動(dòng)，起一個(gè)這個(gè)可愛(ài)的名字，誰(shuí)TMD知道這是一個(gè)木馬。
把lady服務(wù)停止，刪除開(kāi)機(jī)啟動(dòng)，刪除文件，恢復(fù)正常！
注意：清理完成后請(qǐng)及時(shí)安裝防病毒軟件，防止再次挖礦入侵
---2017 02 21 補(bǔ)充
很有網(wǎng)友也遇到跟我同樣的問(wèn)題，但是木馬程序確實(shí)有點(diǎn)囂張，通過(guò)利用redis的免帳號(hào)密碼漏洞進(jìn)行入侵
http://blog.jobbole.com/94518/
1. 修復(fù) redis 的后門(mén)缺陷
配置bind選項(xiàng), 限定可以連接Redis服務(wù)器的IP, 并修改redis的默認(rèn)端口6379配置AUTH, 設(shè)置密碼, 密碼會(huì)以明文方式保存在redis配置文件中.配置rename-command CONFIG “RENAME_CONFIG”, 這樣即使存在未授權(quán)訪(fǎng)問(wèn), 也能夠給攻擊者使用config指令加大難度好消息是Redis作者表示將會(huì)開(kāi)發(fā)”real user”，區(qū)分普通用戶(hù)和admin權(quán)限，普通用戶(hù)將會(huì)被禁止運(yùn)行某些命令，如conf
2. 打開(kāi) ~/.ssh/authorized_keys, 刪除你不認(rèn)識(shí)的密鑰
3. 刪除用戶(hù)列表中陌生的帳號(hào)
參考文獻(xiàn)：
redis未授權(quán)訪(fǎng)問(wèn)漏洞：Redis未授權(quán)訪(fǎng)問(wèn)漏洞
到此這篇關(guān)于關(guān)于服務(wù)被挖礦程序minerd入侵解決方法的文章就介紹到這了,更多相關(guān)挖礦程序minerd入侵內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
自己搭建CDN服務(wù)器的工具GoEdge安裝和配置教程
GoEdge是一款基于Go語(yǔ)言開(kāi)發(fā)的管理分布式CDN邊緣節(jié)點(diǎn)的開(kāi)源工具軟件,支持多種協(xié)議和功能,包括?HTTP、HTTPS、WebSocket、TCP、TLS、UDP?等,并集成了?WAF（Web?應(yīng)用防火墻）能力,可以讓用戶(hù)輕松地、低成本地創(chuàng)建CDN/WAF等應(yīng)用2025-08-08
Windows服務(wù)器文件備份到本地的方法、Windows服務(wù)器數(shù)據(jù)備份方案
重要的數(shù)據(jù)必須備份，并且必須實(shí)時(shí)備份，否則一旦出現(xiàn)意外情況，將會(huì)給服務(wù)器文件安全帶來(lái)巨大災(zāi)難。那么，如何備份服務(wù)器文件呢？下面就一起來(lái)了解一下2019-05-05
CentOS 6.6實(shí)現(xiàn)永久修改DNS地址的方法
這篇文章主要介紹了CentOS 6.6實(shí)現(xiàn)永久修改DNS地址的方法,涉及針對(duì)CentOS配置文件的相關(guān)設(shè)置技巧,具有一定參考借鑒價(jià)值,需要的朋友可以參考下2016-10-10
服務(wù)器慢如何查找，查找服務(wù)器變慢的辦法有哪些，下面由腳本之家小編幫大家解決此問(wèn)題，需要的朋友可以一起看看吧2015-09-09
這篇文章主要介紹了Linux下php安裝Redis擴(kuò)展的方法,簡(jiǎn)單介紹了Linux下php安裝Redis擴(kuò)展的具體步驟與相關(guān)操作命令,需要的朋友可以參考下2016-12-12
阿里云快速搭建一個(gè)靜態(tài)網(wǎng)站的方法步驟
這篇文章主要介紹了阿里云快速搭建一個(gè)靜態(tài)網(wǎng)站的方法步驟，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2019-02-02
寶塔通過(guò)composer安裝TP依賴(lài)的詳細(xì)教程(寶塔服務(wù)器)
這篇文章主要介紹了寶塔通過(guò)composer安裝TP依賴(lài)的詳細(xì)教程(寶塔服務(wù)器),本文給大家分享問(wèn)題原因分析及解決方案，需要的朋友可以參考下2023-06-06
教你如何組裝raid5及raid1磁盤(pán)陣列服務(wù)器
最近又親手給一個(gè)朋友組裝了一臺(tái)采用雙核心P4 820D處理器的8硬盤(pán)的1U機(jī)架式存儲(chǔ)型服務(wù)器，在組裝過(guò)程中，分別組建了硬件Raid5和軟件Raid5的磁盤(pán)陣列，過(guò)程很值得玩味，現(xiàn)在寫(xiě)出詳細(xì)的設(shè)置過(guò)程，以期拋磚引玉2023-04-04
微服務(wù)架構(gòu)之服務(wù)注冊(cè)與發(fā)現(xiàn)實(shí)踐示例詳解
這篇文章主要為大家介紹了微服務(wù)架構(gòu)之服務(wù)注冊(cè)與發(fā)現(xiàn)實(shí)踐的示例詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步早日升職加薪2022-01-01
Ubuntu服務(wù)器中Swapper與虛擬內(nèi)存配合的方法
當(dāng)物理內(nèi)存不足時(shí),Swapper會(huì)幫助系統(tǒng)將不活躍的數(shù)據(jù)從內(nèi)存轉(zhuǎn)移到磁盤(pán)上的交換空間(Swap),以釋放內(nèi)存給需要更多資源的進(jìn)程,下面將詳細(xì)說(shuō)明Swapper和虛擬內(nèi)存如何協(xié)作工作,并闡述它們?cè)谙到y(tǒng)性能中的作用,感興趣的朋友一起看看吧2025-03-03