记一次云服务器被当肉鸡的处理过程

环境：CentOS 7.7.1908

服务器没跑什么，用来做实验用的，突然操作起来很卡，一看资源使用情况吓一跳，跑满了

看这资源被抢占的

1 分钟负载 12.82 
5 分钟负载 12.60 
15 分钟负载 13.61
#这可能是我这台服务器最忙的时候

知道了这三个进程 ID 后面的事情就好做了

1.首先看他在干什么

$ cd /proc/4447/
$ ls -ltr
total 0
···
lrwxrwxrwx  1 root root 0 Nov 12 21:01 exe -> /etc/svcupdate
-r--------  1 root root 0 Nov 12 21:01 environ
lrwxrwxrwx  1 root root 0 Nov 12 21:01 cwd -> /etc
···
#主要看这 2 个，做了个软连

2.直接删肯定是删不掉

$ rm -rf /etc/svcupdate
rm: cannot remove ‘/etc/svcupdate’: Operation not permitted
$ chattr -i /etc/svcupdate
$ rm -rf /etc/svcupdate
#删掉之后再 kill 掉
$ kill -9 7396

清掉一个后资源使用情况下来了，但是负载还是比较高，按相同步骤将 svcworkmanager 和 pnscan 清掉

3.进程都干掉了，但是资源负载还是有点高

4.看看 bash 还在干什么

$ cd /proc/64435
$ ls -la
total 0
···
lrwxrwxrwx   1 root root 0 Nov 12 20:44 cwd -> /tmp/.ice-unix/...
-r--------   1 root root 0 Nov 12 21:13 environ
lrwxrwxrwx   1 root root 0 Nov 12 20:44 exe -> /usr/bin/bash
···
#主要看他的工作路径

5.看了下进程打开的文件句柄数

$ lsof | wc -l
266084
$ ulimit -H -n
65535
#我这小服务器被撑爆了

6.看看目录都有些什么文件

$ ls -la
total 1648
drwxrwxrwt.  8 root root    4096 Nov 12 21:13 .
dr-xr-xr-x. 20 root root    4096 Oct 30 20:43 ..
-rw-r--r--   1 root root      92 Nov  5 14:02 backup.db
-rw-r--r--   1 root root     251 Nov  6 06:15 dump.rdb
drwxrwxrwt.  2 root root    4096 Sep 14  2017 .font-unix
drwxrwxrwx   3 root root    4096 Oct 30 20:37 .ice-unix
drwxrwxrwt.  2 root root    4096 Sep 14  2017 .ICE-unix
-rw-r--r--   1 root root       2 Oct 30 21:00 kdevtmpfsi
-rw-r--r--   1 root root   55664 Nov  5 14:01 red2.so
-rw-r--r--   1 root root       2 Oct 30 21:00 redis2
drwxrwxrwt.  2 root root    4096 Sep 14  2017 .Test-unix
drwxrwxrwt.  2 root root    4096 Sep 14  2017 .X11-unix
drwxrwxrwt.  2 root root    4096 Sep 14  2017 .XIM-unix
-rw-r--r--   1 root root 1578199 Nov  6 04:42 xm3.tgz

$ cd .ice-unix
$ ls -la | wc -l
104446
#十几万的文件。。。直接干掉
$ rm -rf /tmp/.ice-unix/
#确认下 tmp 全是这个程序搞出来，全部清掉就ok了

7.都干掉后

负载已经下来了，等等 5 分钟和 15 分钟的负载也会下来

$ lsof | wc -l
3292
#打开的句柄数也只有 3292 了

8.查看定时任务，看看有没有留后门

$ crontab -l
no crontab for root
#有的话清一下，我这里没有

9.总结

这个挖矿程序比较好清除，没有遇到给你篡改命令，杀也杀不掉这种厉害的木马算是好的了

• pnscan 这个是 redis 带来的病毒，redis 最好设置一下密码。建议不暴露到公网，最好监听 127.0.0.1

Over~

1609 0 2020-11-12

打赏一下，各位朋友请随意打赏！

×

如果觉得我的文章对你有用，请随意赞赏

取消