linux系统中病毒怎么解决,Linux 服务器中木马病毒及清除过程
一、背景
晚上看到有台服务器流量跑的很高,明显和平常不一样,流量达到了800Mbps,第一感觉应该是中木马了,被人当做肉鸡了,在大量发包。
我们的服务器为了最好性能,防火墙(iptables)什么的都没有开启,但是服务器前面有物理防火墙,而且机器都是做的端口映射,也不是常见的端口,按理来说应该是满安全的,可能最近和木马有缘吧,老是让我遇到,也趁这次机会把发现过程记录一下。
二、发现并追踪处理
1、查看流量图发现问题
查看的时候网页非常卡,有的时候甚至没有响应
2、top动态查看进程
我马上远程登录出问题的服务器,远程操作很卡,网卡出去的流量非常大,通过top发现了一个异常的进程占用资源比较高,名字不仔细看还真以为是一个Web服务进程。
4、结束异常进程并继续追踪
killall -9 nginx1
rm -f /etc/nginx1
干掉进程之后,流量立刻下来了,远程也不卡顿了,难道删掉程序文件,干掉异常进程我们就认为处理完成了么?想想也肯定没那么简单的,这个是木马啊,肯定还会自己生成程序文件(果然不出我所料,在我没有搞清楚之前,后面确实又生成了)我们得继续追查。
5、查看登录记录及日志文件secure
通过命令last查看账户登录记录,一切正常。查看系统文件message并没有发现什么,但是当我查看secure文件的时候发现有些异常,反正是和认证有关的,应该是尝试连进来控制发包?
7、更多异常文件的发现
查看定时任务文件crontab并没有发现什么一次,然后查看系统启动文件rc.local,也没有什么异常,然后进入/etc/init.d目录查看,发现比较奇怪的脚本文件DbSecuritySpt、selinux。
三、木马手动清除
现在综合总结了大概步骤如下:
1、简单判断有无木马
#有无下列文件
cat /etc/rc.d/init.d/selinux
cat /etc/rc.d/init.d/DbSecuritySpt
ls /usr/bin/bsd-port
ls /usr/bin/dpkgd
#查看大小是否正常
ls -lh /bin/netstat
ls -lh /bin/ps
ls -lh /usr/sbin/lsof
ls -lh /usr/sbin/ss
2、上传如下命令到/root下
ps netstat ss lsof
3、删除如下目录及文件
rm -rf /usr/bin/dpkgd (ps netstat lsof ss)
rm -rf /usr/bin/bsd-port #木马程序
rm -f /usr/bin/.sshd #木马后门
rm -f /tmp/gates.lod
rm -f /tmp/moni.lod
rm -f /etc/rc.d/init.d/DbSecuritySpt(启动上述描述的那些木马变种程序)
rm -f /etc/rc.d/rc1.d/S97DbSecuritySpt
rm -f /etc/rc.d/rc2.d/S97DbSecuritySpt
rm -f /etc/rc.d/rc3.d/S97DbSecuritySpt
rm -f /etc/rc.d/rc4.d/S97DbSecuritySpt
rm -f /etc/rc.d/rc5.d/S97DbSecuritySpt
rm -f /etc/rc.d/init.d/selinux(默认是启动/usr/bin/bsd-port/getty)
rm -f /etc/rc.d/rc1.d/S99selinux
rm -f /etc/rc.d/rc2.d/S99selinux
rm -f /etc/rc.d/rc3.d/S99selinux
rm -f /etc/rc.d/rc4.d/S99selinux
rm -f /etc/rc.d/rc5.d/S99selinux
4、找出异常程序并杀死
5、删除含木马命令并重新安装(或者把上传的正常程序复制过去也行)
我自己重新安装好像不行,我是找的正常的机器复制的命令。
#ps
/root/chattr -i -a /bin/ps && rm /bin/ps -f
yum reinstall procps -y 或 cp /root/ps /bin
#netstat
/root/chattr -i -a /bin/netstat && rm /bin/netstat -f
yum reinstall net-tools -y 或 cp /root/netstat /bin
#lsof
/root/chattr -i -a /bin/lsof && rm /usr/sbin/lsof -f
yum reinstall lsof -y 或 cp /root/lsof /usr/sbin
#ss
/root/chattr -i -a /usr/sbin/ss && rm /usr/sbin/ss -f
yum -y reinstall iproute 或 cp /root/ss /usr/sbin
linux系统中病毒怎么解决,Linux 服务器中木马病毒及清除过程相关推荐
- 服务器中了勒索病毒怎么办,服务器中了勒索病毒怎么解决,服务器中了勒索病毒怎么处理
服务器中了勒索病毒怎么办,服务器中了勒索病毒怎么解决,服务器中了勒索病毒怎么处理 服务器中了勒索病毒是一个严重的问题,因为它会影响到服务器上托管的网站和应用程序,并可能导致数据丢失或泄露.勒索病毒通常 ...
- 服务器中了devos勒索病毒怎么解决,服务器中勒索病毒怎么处理
什么是devos勒索病毒: Devos勒索病毒是一种恶意软件,也被称为勒索软件或勒索病毒.它的主要攻击目标是Windows操作系统,一旦被感染,该病毒会加密计算机中的所有文件,包括文档.图片.音频.视 ...
- linux系统怎么删除打印机,解决LINUX ES3.0下想指定打印机和用户的删除打印作业的问题...
############################################################################### # xlprm use for LINU ...
- linux篇---解决 Linux 系统,出现“不在sudoers文件中,此事将被报告”的问题
解决 Linux 系统,出现"不在sudoers文件中,此事将被报告"的问题 我在使用个人用户(非root用户)时,在添加用户,使用sudo命令来执行的时候,需要验证当前用户的密码 ...
- linux修改权限后不能开机,打造完美Linux系统:疑难杂症的解决(转)
打造完美Linux系统:疑难杂症的解决(转)[@more@] 如果谁说他的Linux从来没有遇到"疑难杂症",我觉得是不可信的,就算是操作界面最友好的Window XP也时常遇到各 ...
- linux crontab不运行,Linux运维知识之解决Linux中crontab不执行ntpdate问题
本文主要向大家介绍了Linux运维知识之解决Linux中crontab不执行ntpdate问题,通过具体的内容向大家展现,希望对大家学习Linux运维知识有所帮助. 解决Linux中crontab尚未 ...
- 虚拟机安装linux系统无法上网的解决方法
虚拟机安装linux系统无法上网的解决方法 参考文章: (1)虚拟机安装linux系统无法上网的解决方法 (2)https://www.cnblogs.com/liuqiyun/p/9585643.h ...
- Linux系统shell脚本之批量修改服务器密码
Linux系统shell脚本之批量修改服务器密码 一.脚本要求 二.脚本内容 三.编辑原始旧密码 四.执行脚本 五.验证密码更改 1.查看更改后的密码文件 2.在远端服务器验证密码 一.脚本要求 可以 ...
- 一站式:虚拟机安装Linux系统(CentOS_7),多节点Linux环境打造,XShell的使用
目录 01.Linux环境装在哪 02.虚拟机的下载与安装:Vmware 2.1.Vmware下载 2.2.Vmware安装 03.CentOS镜像下载 3.1.CentOS介绍(了解) 3.2.Ce ...
- 一文带你学会linux系统 史上最全linux命令大全
一文带你学会linux系统 史上最全linux命令大全 文章目录 linux系统简介 linux命令 1.启动网络命令 2.pwd命令 2.ls命令 3.cd命令 4.mkdir命令 5.rmdir命 ...
最新文章
- 做个有产品意识的工程师
- 新建仓库后第一次提交的问题
- 【白话机器学习】算法理论+实战之Xgboost算法
- ubuntu 构建 deb 安装包
- SPH(光滑粒子流体动力学)流体模拟实现二:SPH算法(4)-算法实现1
- ubuntu snappy 记事
- 白话讲解:消息队列到底解决了什么问题?
- 7-2 人民币兑换 (15 分)
- cuda 实现sift gpu_超原版速度110倍,针对PyTorch的CPU到GPU张量迁移工具开源
- 零食店投资?市场成本风险分析
- 设计模式之工厂模式类图
- 如何用BabeLua运行Lua代码
- OS + Win Office / word / excel / ppt / powerpoint / keyboard_shortcut
- Statistical Language Model笔记+几个简单平滑算法
- Session Cookies Not Marked as Secure
- SQL1 从 Customers 表中检索所有的 ID
- CSP201609-3(炉石传说)(Java 100分)(只有78行代码)
- 如何在Office 365中使用Office剪贴板?
- 英国化学实验室的管理模式
- 一种基于扩展反电动势的永磁同步电机无位置控制算法,全部C语言 编写,含有矢量控制大部分功能(弱磁,解耦,过调制,死区补偿等)
热门文章
- python自动化办公百度云_用Python自动办公 做职场高手全16讲 完整版 视频教程
- 基于DSP TMS320F2812的1553B总线开发板
- 基于JAVA校园社团活动管理系统计算机毕业设计源码+系统+数据库+lw文档+部署
- 关于c语言中二维数组及相关指针的理解
- 技术人员谈管理之企业组织文化漫谈
- Linux 平台 LiveSuitV3.05 工具使用说明
- JESD204B接口调试【开篇】
- python+树莓派+方向盘打造4G遥控车——之五 MCP3008方向盘角度监测
- 电流检测电路-Max471
- VMware集群应用部署之--MikroTik-RouterOS部署及数据迁移