linux服務(wù)器被挖礦的解決方案
一、前言
本周發(fā)現(xiàn)服務(wù)器很卡，明明什么實(shí)驗(yàn)也沒跑（GPU是空的），然后重啟后使用top指令后發(fā)現(xiàn)在自己賬號(hào)下有個(gè)進(jìn)程占用了所有的的cpu資源，嘗試使用kill命令終止該進(jìn)程后發(fā)現(xiàn)幾秒鐘進(jìn)程又重啟了，資源一直處于耗盡狀態(tài)，至此發(fā)現(xiàn)該進(jìn)程是惡意進(jìn)程，網(wǎng)上搜索后發(fā)現(xiàn)是一個(gè)挖礦的程序。知道問題所在，那就好辦了。
二、解決辦法
想法：先刪除源程序，然后刪除腳本，然后刪除定時(shí)任務(wù)，最后kill所有的惡意進(jìn)程（因?yàn)橹苯觡ill后會(huì)進(jìn)程還會(huì)重啟）。
1. 阻斷挖礦程序鏈接外網(wǎng)服務(wù)。
- 查看/etc/hosts的內(nèi)容是否被惡意篡改
- 查看發(fā)現(xiàn)該文件增加了下述兩行代碼，將其刪除：
- 在/etc/hosts里增加一條
127.0.0.1 g.upxmr.com
阻斷挖礦程序鏈接外網(wǎng)下載可執(zhí)行文件，除非把服務(wù)器網(wǎng)斷了。
2. 刪除定時(shí)任務(wù)及文件
使用 crontab -l 查看當(dāng)前用戶的定時(shí)程序，然后確認(rèn)是惡意的定時(shí)程序，使用 crontab -r刪除。
一般情況使用crontab -l是看不到的挖礦的程序，需要查看/etc/crontab。但是本處使用crontab –l發(fā)現(xiàn)了挖礦腳本所在位置，刪除后再確認(rèn)/etc/crontab文件內(nèi)容無修改。
- 正常的/etc/crontab文件內(nèi)容如下：
3. Kill掉所有的挖礦程序。
三、后續(xù)
長時(shí)間觀察發(fā)現(xiàn)CPU的資源占用并未升高，說明問題是初步解決了，但是根源還沒找到，因?yàn)槲覀兊姆?wù)都是部署在內(nèi)網(wǎng)的，挖礦程序是從哪個(gè)入口侵入的還有待排查。
IP登錄排查
- 登錄日志查看：
last -f /var/log/wtmp last -f /var/log/wtmp.1
結(jié)合.bash/bash指令的創(chuàng)建日期查找到當(dāng)天登錄的用戶信息，然后結(jié)合登錄的IP分析，就能知道是內(nèi)部人員盜用還是被外面的人當(dāng)?shù)V機(jī)了。
當(dāng)然也不排除是內(nèi)部人員將登錄IP替換的可能性。然后通過IP可分析是從哪里入侵的了。
四、總結(jié)
無論什么賬號(hào)，千萬不能用偌密碼，不然后果很嚴(yán)重！
以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
Linux crontab是采用定期執(zhí)行程序的命令，當(dāng)安裝完成操作 系統(tǒng)后，默認(rèn)便會(huì)啟動(dòng)此任務(wù)調(diào)度命令，crond命令每分鐘都會(huì)定期檢查是否要執(zhí)行任務(wù)的工作，如果要執(zhí)行的工作便會(huì)自動(dòng)執(zhí)行該任務(wù)。本文主要介紹了定時(shí)任務(wù)Crontab的使用，需要的可以學(xué)習(xí)一下2023-04-04
Linux中SELinux三種模式的啟動(dòng)、關(guān)閉與查看方式
這篇文章主要介紹了Linux中SELinux三種模式的啟動(dòng)、關(guān)閉與查看方式,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2024-02-02
Linux系統(tǒng)關(guān)機(jī)命令之間的區(qū)別及用法詳解
在本篇文章里小編給大家整理了一篇關(guān)于Linux系統(tǒng)關(guān)機(jī)命令之間的區(qū)別及用法詳解內(nèi)容，有需要的朋友們參考學(xué)習(xí)下。2020-12-12
本篇文章主要介紹了詳解Linux Centos7下安裝Python的方法，具有一定的參考價(jià)值，有興趣的可以了解一下。2017-01-01
嵌入式Linux開發(fā)環(huán)境搭建ping、nfs的解決方法
在本篇文章里小編給大家整理了關(guān)于嵌入式Linux開發(fā)環(huán)境搭建ping、nfs的解決方法，需要的朋友們學(xué)習(xí)參考下。2019-07-07
Linux中的輸入輸出重定向和追加是通過文件描述符來控制的,常用的重定向符號(hào)包括<、<<、>、>>、2>、2>>和>&,這些符號(hào)可以用于覆蓋或追加輸出到文件,也可以用于合并標(biāo)準(zhǔn)輸出和錯(cuò)誤輸出2024-12-12
Linux/CentOS系統(tǒng)同步網(wǎng)絡(luò)時(shí)間的2種方法詳解
我們知道Windows系統(tǒng)下可以同步網(wǎng)絡(luò)時(shí)間,那么Linux系統(tǒng)下有沒有相同的功能呢，今天為大家介紹2Linux系統(tǒng)下同步網(wǎng)絡(luò)時(shí)間的方法2018-10-10
這篇文章主要介紹了阿里云服務(wù)器ubuntu 配置方法，本文分步驟給大家介紹的非常詳細(xì)，具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2018-10-10
使用 Linux 操作系統(tǒng)時(shí),可能會(huì)遇到磁盤空間不足的錯(cuò)誤,這種錯(cuò)誤通常會(huì)導(dǎo)致系統(tǒng)運(yùn)行緩慢或崩潰,本文將介紹磁盤排查的方法,文中通過代碼示例給大家介紹的非常詳細(xì),需要的朋友可以參考下2024-02-02
VirtualBox 錯(cuò)誤：This kernel requires the following features no
這篇文章主要介紹了VirtualBox 錯(cuò)誤：This kernel requires the following features not present on the CPU的相關(guān)資料,希望通過本文能幫助到大家，解決這樣的問題，需要的朋友可以參考下2017-10-10