第七十六期:糟糕!服务器被植入挖矿木马,CPU飙升200%
某日,正在午休中,突然一则噩耗从前线传来:网站不能访问了!
作者:我叫刘半仙
某日,正在午休中,突然一则噩耗从前线传来:网站不能访问了!
图片来自 Pexels
此项目是我负责,线上服务器用的是某讯云的,运行着 Tomcat,MySQL,MongoDB,ActiveMQ 等程序。
排查过程
我以 150+ 的手速立即打开了服务器,看到 Tomcat 挂了,然后顺其自然的重启,启动过程中直接被 killed,再试试数据库,同样没成功,多次尝试甚至重启机器无果。
机智的我打了个 Top,出现以下内容:
这是谁运行的程序?不管三七二十一先杀掉再说,因为它就是 Tomcat 等程序启动不了的元凶。
然而并没有什么卵用,过一会再看那个东西又跑出来占 CPU。怀疑是个定时任务:
什么鬼,是个图片?立即访问了一下:
好尴尬,但是心思细腻的我早知道没这么简单,肯定只是伪装,crul 过去是下面的脚本,过程就是在挖矿:
有兴趣的同学想查看以上完整源代码,命令行运行下面指令(不分操作系统,方便安全无污染):
既然知道它是个定时任务,那就先取消了它,并且看看它是谁在运行:
杀掉,找到存放目录:
进入临时目录:
被我发现配置文件了,先来看看内容:
虎躯一震,发现了不少信息啊,User 是他的 Server 的登录用户,下面是密码,只可惜加密过,应该找不到对方。
算了,大度的我先不和你计较。干掉这两个文件后再查看 Top:
解决办法
找到寄生的目录,一般都会在 tmp 里,我这个是在 /var/tmp/。首先把 crontab 干掉,杀掉进程,再删除产生的文件。启动 Tomcat 等程序,大功告成!
等等,这远远不够,考虑到能被拿去挖矿的前提下你的服务器都已经被黑客入侵了,修复漏洞才对,不然你杀掉进程删掉文件后,黑客后门进来 history 一敲,都知道你做了啥修复手段。
所以上面办法治标不治本,我后续做了以下工作:
- 把所有软件升级到新版本。
- 修改所有软件默认端口号。
- 打开 ssh/authorized_keys,删除不认识的密钥。
- 删除用户列表中陌生的帐号。
- 封了他的 ip。
- SSH 使用密钥登录并禁止口令登录(这个一般是加运维一个人的秘钥)。
对了,本次遭受攻击是低版本 ActiveMQ 开放端口 61616 有漏洞,大家记得做优化。
遇到挖矿木马最好的解决方式:将主机镜像、找出病毒木马、分析入侵原因、检查业务程序、重装系统、修复漏洞、再重新部署系统。
写在最后
网友提供的一劳永逸终极解决办法:把你自己的挖矿脚本挂上去运行,这样别人就算挂脚本也跑不起来了。
阅读目录(置顶)(长期更新计算机领域知识)
阅读目录(置顶)(长期更新计算机领域知识)
阅读目录(置顶)(长期科技领域知识)
歌谣带你看java面试题
第七十六期:糟糕!服务器被植入挖矿木马,CPU飙升200%相关推荐
- net start mysql 服务名无效_记一次服务器被植入挖矿木马cpu飙升200%解决过程
来自:开源中国,作者:我叫刘半仙 链接:https://my.oschina.net/liughDevelop/blog/1786631 " 某日,正在午休中,突然一则噩耗从前线传来:网站 ...
- html5诗歌作业,《品味诗词群》总第七十六期作业
<品味诗词群>总第七十六期作业 老物件总能给人以无限的怀想.本期作业以<收录机>为主题,以图题诗.韵部不限,诗词均可,要求不变,期待精彩! 品味诗词雅韵,传承华夏文明. 七绝 ...
- 云服务器被植入挖矿木马,CPU飙升200%处理方案
云服务器被植入挖矿木马,CPU飙升200%处理方案 1,通过执行top命令,即可在返回结果中看到当时系统的CPU占用率. top -c 2.检查防火墙iptables规则中是否存在可疑端口 iptab ...
- 云服务器被植入挖矿木马,CPU飙升200%
原文链接:https://bbs.pediy.com/thread-268197.htm 本文为腾讯安全专家撰写的<挖矿木马自助清理手册>,可以为政企客户安全运维人员自助排查清理挖矿木马提 ...
- 糟糕!服务器被植入挖矿木马,CPU飙升200%
此项目是我负责,线上服务器用的是某讯云的,运行着 Tomcat,MySQL,MongoDB,ActiveMQ 等程序. 排查过程 我以 150+ 的手速立即打开了服务器,看到 Tomcat 挂了,然后 ...
- 第七十六期:3000台服务器不宕机,微博广告系统全景运维大法
微博现在日活达到了 2 亿,微博广告是微博最重要且稳定的收入来源,没有之一,所以微博广告系统的稳定性是我们广告运维所有工作中的重中之重. 作者:孙燕来源 微博现在日活达到了 2 亿,微博广告是微博最重 ...
- 糟糕!服务器被植入挖矿木马,CPU 飙升200%。。。
线上服务器用的是某讯云的,欢快的完美运行着Tomcat,MySQL,MongoDB,ActiveMQ等程序.突然一则噩耗从前线传来:网站不能访问了! 此项目是我负责,我以150+的手速立即打开了服务器 ...
- 服务器被植入挖矿木马的心酸过程
转自 https://juejin.im/post/5aa0cc476fb9a028d82b5695 最近打开服务变得很慢,然后 CPU,内存占用有达到了100%,打开网站都很慢,这个肯定很反常的,平 ...
- 服务器被植入挖矿木马如何处理
Cpu占用率100%,负载状态也是运行阻塞,还收到电话阿里云那边的电话检测我到挖矿? 当时我就莫名其妙,我一个新手怎么还去搞区块链了 常规的Top命令是没法查看到cpu异常的 通过yum -y ins ...
最新文章
- Python 之父:救救中国程序员
- Vue.js子组件向父组件通信
- 针对$_SERVER[’PHP_SELF’]的跨站脚本攻击(XSS)
- 微软模拟飞行2020服务器多少内存,《微软模拟飞行2020》配置公开,想玩爽还需玩家加大投入...
- pytorch中torch.manual_seed()的理解
- python简单爬虫(一)
- 【MySQL】向已有主键的表附加主键属性的自动编号
- Shell整数型变量自增自减的实现方式(+1,-1,++,--)
- [笔记]kubernetes 无法启动问题
- inno setup安装之前关闭mysql_innosetup安装之前关闭进程
- 运放参数SR(压摆率)、增益带宽积(GBW)
- 微信公众平台接口测试帐号申请
- 【美图秀秀】如何P图恶搞——室友的噩梦
- 谱尼测试网络安全护航
- 药店不停业盘点操作流程,海典盘点机PDA操作使用说明
- SpringCloud学习笔记(一)(狂神视频笔记)
- 计算机微机维修工四级理论知识试卷,计算机维修工中级理论知识试卷1.doc
- 数据分析实战(一百零一):项目分析思路 —— 用户增长实践经验分享
- 学计算机语言步骤,如何学编程语言?好菜鸟学习编程语言的步骤
- 圣诞树 圣诞树 圣诞树_圣诞网页设计资源
热门文章
- kernel module required key not available
- CentOS 6.4 编译安装 gcc-4.8.0
- php 获取实例的类名,PHP类名获取方式及单例模式实现
- token要加编码decode吗_彻底弄明白Base64 编码
- 怎么更换锁定计算机的图片,Win10系统下怎样对锁定界面的背景图片进行更换
- linux下挂载windows上的共享目录,并设置所有者为非root用户
- 让source insight更好的支持中文
- Dynamic Performance Tables not accessible,Automatic Statistics...
- C# GDI+ 实现图片分隔
- 浅谈webpack打包原理