×

记一次服务器被挖矿的排查过程
  

一般社员 662

{{ttag.title}}
[color=rgba(0, 0, 0, 0.75)]
一、发现

先搜了下网上有没有相似经历的,发现B站有个up主发了视频 记一次服务器被挖矿的经历和排查 。简单看了下他的视频,有个比较清晰的思路了。
使用命令查看当前进程

ps -a

发现有一些奇怪的进程,但又不确定是哪个。

网站上监控服务器资源显示突然被占用了很多资源。

top:查询

通过CPU使用量找一下,查询当前的进程使用资源状况。

top

top以全屏交互式的界面显示进程排名,及时跟踪包括CPU、内存等系统资源占用情况,默认情况下每三秒刷新一次,其作用基本类似于Windows系统中的任务管理器

可以看到进程xmrig占用了大量CPU资源,百度也可以搜到xmrig是个挖矿病毒。

二、排查

百度了一下,好麻烦,安全意识不够强吧。
先查询xmrig病毒的文件地址

ls -l /proc/进程ID/exe

[color=rgba(0, 0, 0, 0.75)]

> lrwxrwxrwx 1 root root 0 Jul 11 13:04 /proc/3934534/exe -> /root/.cfg/xmrig


[color=rgba(0, 0, 0, 0.75)]

查到隐藏的地址,cd命令进不去,找不到地址也无法删除。后来发现是一个重定向的地址。用另一个语句查询

find / -name xmrig

[color=rgba(0, 0, 0, 0.75)]

> /var/lib/docker/overlay2/860d7d30e33967a65150a3f93c5994a9077e1906e0f9ccda73ee1008803b92f1/merged/root/.cfg/xmrig
> /var/lib/docker/overlay2/860d7d30e33967a65150a3f93c5994a9077e1906e0f9ccda73ee1008803b92f1/diff/root/.cfg/xmrig


[color=rgba(0, 0, 0, 0.75)]


找到两条病毒的信息,进入到文件夹下发现是开的docker容器,原来是容器内被病毒入侵了。
前两天开了一个docker容器搭建python环境,将容器ssh通过openssh映射到公网端口上了,密码设的比较简单(123456),so被攻击了。这个是将docker容器端口开放出来的博客 pycharm远程连接服务器docker容器内python环境

到这里其实我可以直接将docker容器删了重新启动一个就行了,看了网上的教程,练练手。
矿狗还把我服务器密码给改了(虽然只是docker容器),好气!

三、清除

依旧查询xmrig病毒的文件地址

top

[color=rgba(0, 0, 0, 0.75)]

> PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
> 11347 root 20 0 2440420 2.0g 4012 S 201.0 14.0 2399:29 xmrig


[color=rgba(0, 0, 0, 0.75)]

ls -l /proc/11347/exe


[color=rgba(0, 0, 0, 0.75)]

> lrwxrwxrwx 1 root root 0 Jul 11 07:18 /proc/11347/exe -> /root/.cfg/xmrig


[color=rgba(0, 0, 0, 0.75)]

这次通过cd进入文件可以看到多个病毒文件

cd /root/.cfg/ls

[color=rgba(0, 0, 0, 0.75)]

> bios.txt ps xmrig


[color=rgba(0, 0, 0, 0.75)]

其中bios.txt是三个ip(172.18.0.1-3)。
直接将整个病毒的文件夹删除

rm -rf /root/.cfg

杀死进程

kill -9 11347

至此病毒清理完毕了,服务器恢复正常。

这里我没遇到定时任务的问题,因为病毒一般来说都比较顽固,在其他问题中介绍下。

四、其他问题

其他博客提到了有定时任务的问题,粘在这里参考吧。

1.定时任务crontab

通过 crontab -l 发现没有定时任务,但是会重新启动
cd /etc/ 查看crontab文件发现有隐藏的定时任务
通过rm删除文件时 rm -rf /etc/crontab ,没有权限

chattr -ia /etc/crontabrm -rf /etc/crontab

删除后在./etc目录下多看几个crontab文件,发现病毒备份了多个定时任务,只要不是自己的定时任务 直接删文件就好了

2.定时任务2

5.删除定时任务 rm -rf /var/spool/cron
6.删除ssh认证信息 rm -rf ./ssh/
7.原因,有可能是redis等程序导致,
8.尽量使用内网链接,不要暴露端口号或者外网地址

3.禁用root远程登录

禁用 root 远程登录的方法(用其它用户su过去):

sudo vi /etc/ssh/sshd_config

关闭 root 远程登录
Find PermitRootLogin and set to no:

PermitRootLogin no

重启 ssh 服务

sudo service ssh restart

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

牛风喜 发表于 2024-4-28 09:51
  
每日一积累慢慢变专家
发表新帖
热门标签
全部标签>
西北区每日一问
技术盲盒
安全效果
【 社区to talk】
技术笔记
干货满满
每日一问
信服课堂视频
新版本体验
GIF动图学习
技术咨询
功能体验
2023技术争霸赛专题
产品连连看
安装部署配置
通用技术
秒懂零信任
技术晨报
自助服务平台操作指引
原创分享
标准化排查
排障笔记本
玩转零信任
排障那些事
SDP百科
深信服技术支持平台
POC测试案例
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
全能先锋系列
云化安全能力

本版版主

10
17
3

发帖

粉丝

关注

124
74
30

发帖

粉丝

关注

26
8
0

发帖

粉丝

关注

70
36
1

发帖

粉丝

关注

6
14
0

发帖

粉丝

关注

18
10
5

发帖

粉丝

关注

本版达人