糟糕！服务器被植入挖矿木马，CPU飙升200%
此项目是我负责，线上服务器用的是某讯云的，运行着 Tomcat，MySQL，MongoDB，ActiveMQ 等程序。
排查过程
我以 150+ 的手速立即打开了服务器，看到 Tomcat 挂了，然后顺其自然的重启，启动过程中直接被 killed，再试试数据库，同样没成功，多次尝试甚至重启机器无果。
机智的我打了个 Top，出现以下内容：
这是谁运行的程序？不管三七二十一先杀掉再说，因为它就是 Tomcat 等程序启动不了的元凶。
然而并没有什么卵用，过一会再看那个东西又跑出来占 CPU。怀疑是个定时任务：
什么鬼，是个图片？立即访问了一下：
好尴尬，但是心思细腻的我早知道没这么简单，肯定只是伪装，crul 过去是下面的脚本，过程就是在挖矿：
有兴趣的同学想查看以上完整源代码，命令行运行下面指令（不分操作系统，方便安全无污染）：
既然知道它是个定时任务，那就先取消了它，并且看看它是谁在运行：
杀掉，找到存放目录：
进入临时目录：
被我发现配置文件了，先来看看内容：
虎躯一震，发现了不少信息啊，User 是他的 Server 的登录用户,下面是密码，只可惜加密过，应该找不到对方。
算了，大度的我先不和你计较。干掉这两个文件后再查看 Top：
解决办法
找到寄生的目录，一般都会在 tmp 里，我这个是在 /var/tmp/。首先把 crontab 干掉，杀掉进程，再删除产生的文件。启动 Tomcat 等程序，大功告成！
等等，这远远不够，考虑到能被拿去挖矿的前提下你的服务器都已经被黑客入侵了，修复漏洞才对，不然你杀掉进程删掉文件后，黑客后门进来 history 一敲，都知道你做了啥修复手段。
所以上面办法治标不治本，我后续做了以下工作：
把所有软件升级到新版本。
修改所有软件默认端口号。
打开 ssh/authorized_keys，删除不认识的密钥。
删除用户列表中陌生的帐号。
封了他的 ip。
SSH 使用密钥登录并禁止口令登录（这个一般是加运维一个人的秘钥）。
对了，本次遭受攻击是低版本 ActiveMQ 开放端口 61616 有漏洞，大家记得做优化。
遇到挖矿木马最好的解决方式：将主机镜像、找出病毒木马、分析入侵原因、检查业务程序、重装系统、修复漏洞、再重新部署系统。
写在最后
网友提供的一劳永逸终极解决办法：把你自己的挖矿脚本挂上去运行，这样别人就算挂脚本也跑不起来了。
糟糕！服务器被植入挖矿木马，CPU飙升200%相关推荐
- net start mysql 服务名无效_记一次服务器被植入挖矿木马cpu飙升200%解决过程
来自:开源中国,作者:我叫刘半仙 链接:https://my.oschina.net/liughDevelop/blog/1786631 " 某日,正在午休中,突然一则噩耗从前线传来:网站 ...
- 云服务器被植入挖矿木马，CPU飙升200%处理方案
云服务器被植入挖矿木马,CPU飙升200%处理方案 1,通过执行top命令,即可在返回结果中看到当时系统的CPU占用率. top -c 2.检查防火墙iptables规则中是否存在可疑端口 iptab ...
- 云服务器被植入挖矿木马，CPU飙升200%
原文链接:https://bbs.pediy.com/thread-268197.htm 本文为腾讯安全专家撰写的<挖矿木马自助清理手册>,可以为政企客户安全运维人员自助排查清理挖矿木马提 ...
- 第七十六期:糟糕！服务器被植入挖矿木马，CPU飙升200%
某日,正在午休中,突然一则噩耗从前线传来:网站不能访问了! 作者:我叫刘半仙 某日,正在午休中,突然一则噩耗从前线传来:网站不能访问了! 图片来自 Pexels 此项目是我负责,线上服务器用的是某讯云 ...
- 糟糕！服务器被植入挖矿木马，CPU 飙升200%。。。
线上服务器用的是某讯云的,欢快的完美运行着Tomcat,MySQL,MongoDB,ActiveMQ等程序.突然一则噩耗从前线传来:网站不能访问了! 此项目是我负责,我以150+的手速立即打开了服务器 ...
- 服务器被植入挖矿木马的心酸过程
转自 https://juejin.im/post/5aa0cc476fb9a028d82b5695 最近打开服务变得很慢,然后 CPU,内存占用有达到了100%,打开网站都很慢,这个肯定很反常的,平 ...
- 服务器被植入挖矿木马如何处理
Cpu占用率100%,负载状态也是运行阻塞,还收到电话阿里云那边的电话检测我到挖矿? 当时我就莫名其妙,我一个新手怎么还去搞区块链了 常规的Top命令是没法查看到cpu异常的 通过yum -y ins ...
- 网页java挂挖矿_记一次服务器被植入挖矿脚本的解决过程
记一次服务器被植入挖矿脚本的解决过程 删除挖矿脚本和对应的进程 找出并删除对应挖矿脚本文件 找出进程pid,并且kill掉 无法kill掉的是原进程的守护进程,原进程不在它也会自动关闭,所以不用管它 ...
- qW3xT.6解决挖矿病毒 - 云服务器被植入挖矿脚本成为矿机
## qW3xT.6解决挖矿病毒 - 云服务器被植入挖矿脚本成为矿机 > 之前由于goblog应用因为不知名问题导致程序crash,之前只检查过云服务内存的情况,但是其他信息暂未检查,今天远程到 ...
最新文章
- python argparse举例说明
- NB-IoT这块热豆腐公认可口 但勿太心急
- 线程池配置合理线程数？
- 在 Java 应用程序中使用 Elasticsearch: 高性能 RESTful 搜索引擎和文档存储快速入门指南
- 下面关于html的描述正确的一项是,1 x 证书 Web 前端开发初级理论考试试卷五（2）...
- wxWidgets：wxStaticLine类用法
- highcharts 怎么去掉鼠标悬停效果_练瑜伽减肥没效果什么原因？
- 远程同步修改云服务器上的文件
- 程序员，有什么资格去谈佛系？
- linux ip协议栈 漏洞,【漏洞预警】雪藏11年：Linux kernel DCCP double-free 权限提升漏洞（CVE-2017-6074）...
- #pragma预处理指令详解
- 2017《JAVA》预备作业 计科1501班 王奕开
- 计算机组成原理白中英ppt,计算机组成原理(白中英)第二章.ppt
- latex linux 安装,Linux 安装LaTeX
- 微信扫码免密登陆第三方应用平台
- win10专业版有必要吗_Win10专业版和家庭版系统有什么不同？
- 泛型中的 T、E、K、V，还记得嘛？
- html邢台模板,邢台水泥预制件定制
- 自学软件测试，缺少项目实战怎么办？
- 番茄工作法（番茄钟时间管理）