阿里云服务器糟肉鸡行为的应对措施
来源:互联网 发布:决策树算法有哪些 编辑:程序博客网 时间:2024/05/01 10:25
解决该问题用了两篇博友文章
#########################################################、
注 :第一篇中“mtyxkeaofa“是病毒,你的服务器上可能是"yam" ,"xxxswrerw"等,灵活变通
1:
linux下如何删除十字符libudev.so病毒文件
服务器不停的向外发包,且CPU持续100%,远程登录后查看发现有一长度为10的随机字符串进程,kill掉,会重新生成另外长度为10的字符串进程。删除文件也会重复生成,非常痛苦。查阅crond相关日志,发现实际执行的内容为/lib/libudev.so ,以此为关键字进行查询,找到如下内容:
1.網路流量暴增,使用 top 觀察有至少一個 10 個隨機字母組成的程序執行,佔用大量 CPU 使用率。刪除這些程序,馬上又產生新的程序。
2.檢查 cat /etc/crontab 发现定时任务 每三分鐘執行gcc.sh
*/
3
* * * * root /etc/cron.hourly/gcc.sh
3.查看病毒程式 gcc.sh,可以看到病毒本體是 /lib/libudev.so。
[root
@deyu
~]# cat /etc/cron.hourly/gcc.sh
#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin
for
i in `cat /proc/net/dev|grep :|awk -F: {
'print $1'
}`;
do
ifconfig $i up& done
cp /lib/libudev.so /lib/libudev.so.
6
/lib/libudev.so.
6
4.刪除上一行例行工作 gcc.sh,並設定 /etc/crontab 無法變動,否則馬上又會產生。
[root
@deyu
~]# rm -f /etc/cron.hourly/gcc.sh ; chattr +i /etc/crontab
5.使用 top 查看病毒為 mtyxkeaofa,id 為 16621,不要直接殺掉程序,否則會再產生,而是停止其運作。
[root
@deyu
~]# kill -STOP
16621
6.刪除 /etc/init.d 內的檔案。
[root
@deyu
~]# find /etc -name
'*mtyxkeaofa*'
| xargs rm -f
7.刪除 /usr/bin 內的檔案。
[root
@deyu
~]# rm -f /usr/bin/mtyxkeaofa
8.查看 /usr/bin 最近變動的檔案,如果是病毒也一併刪除,其他可疑的目錄也一樣。
[root
@deyu
~]# ls -lt /usr/bin | head
9.現在殺掉病毒程序,就不會再產生。
[root
@deyu
~]# pkill mtyxkeaofa
10.刪除病毒本體。
[root
@deyu
~]# rm -f /lib/libudev.so
使用此方法 可以完全清除此病毒。
服务器由于redis未授权漏洞被攻击
昨天阿里云拦截到了一次异常登陆,改了密码后就没有管他,
今天阿里云给我发消息说我的服务器可能被黑客利用,存在恶意发包行为。。。。。。。
不过我不打算只是单纯的重置系统,经过一系列的查找原因后,发现被攻击的原因是我的redis没有设置登陆密码(redis 默认情况下,没有配置登陆密码,任意用户可以登录),被黑客利用然后获取到了我的root权限。
先用#ps -ef 命令看看有没有什么可疑进程
其中:
START:该进程被触发启动的时间
TIME :该进程实际使用 CPU 运作的时间
COMMAND:该程序的实际指令
发现下面这条进程占用cpu时间十分可疑
然后查了一下后面的/opt/yam/yam······指令,发现这就是利用redis漏洞进行攻击的脚本
之后很长的一段时间一直在和redis漏洞的攻击脚本作斗争。。。。。一个是gg3lady文件,还有一个是yam文件
尝试了两个个小时也无法彻底关闭相关进程和删除这两个脚本。
于是换了一种角度思考,既然病毒程序总是自己启动,我为何不从自动启动的地方开始处理。
然后找到计划任务的文件/etc/crontab
发现里面果然多了一行计划任务*/3 * * * * root /etc/cron.hourly/gcc.sh
先删除这行计划任务。
再输入top命令(top命令可以查看系统中占用最多资源的进程)
发现一个名为wyvrzccbqr的程序占用最多。。。。。(之前靠#ps -ef 命令竟然更本看不到它)
看到它的pid为473
先暂停他(不要直接杀,否则会再生)# kill -STOP 473
刪除 /etc/init.d 內的档案# find /etc -name '*wyvrzccbqr*' | xargs rm -f
刪除 /usr/bin 內的档案# rm -f /usr/bin/wyvrzccbqr
查看 /usr/bin 最近变动的档案,如果是病毒也一并刪除,其他可疑的目录也一样# ls -lt /usr/bin | head
结果显示有个名为doeirddtah的文件也很可疑。于是一起删掉# rm -f /usr/bin/doeirddtah
現在杀掉病毒程序,就不會再产生。#pkill wyvrzccbqr
刪除病毒本体。# rm -f /lib/libudev.so
这样问题就解决了
服务器由于redis未授权漏洞被攻击
昨天阿里云拦截到了一次异常登陆,改了密码后就没有管他,
今天阿里云给我发消息说我的服务器可能被黑客利用,存在恶意发包行为。。。。。。。
不过我不打算只是单纯的重置系统,经过一系列的查找原因后,发现被攻击的原因是我的redis没有设置登陆密码(redis 默认情况下,没有配置登陆密码,任意用户可以登录),被黑客利用然后获取到了我的root权限。
先用#ps -ef 命令看看有没有什么可疑进程
其中:
START:该进程被触发启动的时间
TIME :该进程实际使用 CPU 运作的时间
COMMAND:该程序的实际指令
发现下面这条进程占用cpu时间十分可疑
然后查了一下后面的/opt/yam/yam······指令,发现这就是利用redis漏洞进行攻击的脚本
之后很长的一段时间一直在和redis漏洞的攻击脚本作斗争。。。。。一个是gg3lady文件,还有一个是yam文件
尝试了两个个小时也无法彻底关闭相关进程和删除这两个脚本。
于是换了一种角度思考,既然病毒程序总是自己启动,我为何不从自动启动的地方开始处理。
然后找到计划任务的文件/etc/crontab
发现里面果然多了一行计划任务*/3 * * * * root /etc/cron.hourly/gcc.sh
先删除这行计划任务。
再输入top命令(top命令可以查看系统中占用最多资源的进程)
发现一个名为wyvrzccbqr的程序占用最多。。。。。(之前靠#ps -ef 命令竟然更本看不到它)
看到它的pid为473
先暂停他(不要直接杀,否则会再生)# kill -STOP 473
刪除 /etc/init.d 內的档案# find /etc -name '*wyvrzccbqr*' | xargs rm -f
刪除 /usr/bin 內的档案# rm -f /usr/bin/wyvrzccbqr
查看 /usr/bin 最近变动的档案,如果是病毒也一并刪除,其他可疑的目录也一样# ls -lt /usr/bin | head
结果显示有个名为doeirddtah的文件也很可疑。于是一起删掉# rm -f /usr/bin/doeirddtah
現在杀掉病毒程序,就不會再产生。#pkill wyvrzccbqr
刪除病毒本体。# rm -f /lib/libudev.so
这样问题就解决了
- 阿里云服务器糟肉鸡行为的应对措施
- 阿里云ECS服务器提示肉鸡行为的解决记录
- 百度联盟发现作弊行为的分析以及应对作弊行为的措施
- 记录阿里云被肉鸡的破解方法
- 线程不安全的应对措施
- 服务器应对大流量请求措施
- 阿里云服务器Centos7成为挖矿肉鸡被挖矿imWBR1耗尽CPU
- 防止成为“肉鸡”的技术与管理措施
- 搜索引擎面临的挑战及应对措施
- 历数Linux服务器被黑问题及应对措施
- linux服务器沦陷为肉鸡的全过程
- 项目团队的发展阶段特点、问题、应对措施、领导风格
- VeryCD转型的应对措施,让我们继续分享互联网!!!
- 手机充电系统面临的挑战和应对措施
- 导致网站被搜索引擎惩罚的原因及应对措施
- IT项目的常见风险及应对措施
- 应用开发中防止SQL注入采取的应对措施
- 失联飞机的情况分析和搜救应对措施
- Java :CharSequence String StringBuffer StringBuidler 的关系
- 【bzoj4566】[Haoi2016]找相同字符
- android热修复学习记录
- Windows 远程桌面连接Ubuntu14.04
- 找规律
- 阿里云服务器糟肉鸡行为的应对措施
- DHTML技术
- sizeof 指针 和数组名
- 简单的鼠标经过图片时变大,IE低版本浏览器不兼容
- android handler 调用原理
- netstat常用参数
- MySQL忘记密码恢复密码的实现方法
- jsonp跨域中后台返回的不是回调函数形式
- 二手房交接注意事项