昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用 执行命令为 : /tmp/php  -s /tmp/p2.conf 基本可以确定是被挂马了 下一步确定来源 last 没有登陆记录 先干掉这几个进程,但是几分钟之后又出现了 先看看这个木马想干什么吧 netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接 但是tcpdump了一小会儿 没有发现任何数据传递 这他是想干啥? 继续查看日志吧 在cron日志中发现了www用户 有一个crontab定时操作 基

公司之前的开发和测试环境是在腾讯云上,部分服务器中过一次挖矿木马 kworkerds,本文为我当时分析和清理木马的记录,希望能对大家有所帮助. 现象 top 命令查看,显示 CPU 占用 100%,进程名无明显规则,如:TzBeq3AM. 进程有时候会被隐藏,通过分析脚本删除部分依赖文件,可以显示出来. 存在可疑的 python 进程. crontab 被写入了一个定时任务,每半小时左右会从 pastebin 上下载脚本并且执行. 原因 redis 没有启用密码认证. 清理方案 将 redis

前几天,公司两台linux服务器,一台访问速度很慢,cpu跑满,一台免密码登录失效,公钥文件被改写成redis的key.用htop命令查询发现了minerd木马进程,初步猜测是redis没有配访问权限造成的.网上查询minerd木马,发现这是一个很常见的挖矿程序,相关猜测也得到了验证. 下文是网上搜索到的清除minerd木马方法. 现状描述 1.top可以看到,这个minerd 程序把cpu跑满了 2.ps aux | grep minerd 可知是这个程序: /opt/minerd 这个不是我

朋友的阿里云服务器一早上报木马入侵,找我处理,登陆阿里云查看警告信息“恶意进程(云查杀)-XorDDoS木马”, 本文也可以作为服务器处理木马排查的步骤的参考文章 排查原则: 1.一般的木马都有多个守护进程,不一定可以短时间停掉,或者处理好,要注意备份业务数据 2.如果木马运行影响到业务运行,首先要恢复业务的访问,同时进行排查处理,但是并不建议 3.如果没有太大影响,可以先停掉相关业务进程,防止查杀过程的操作对业务产生影响 生产环境注意根据实际情况决策 处理木马病毒的顺序: 1.关闭对外访问2.

服务器托管在外地机房. 突然,频繁收到一组服务器ping监控不可达邮件,赶紧登陆zabbix监控系统查看流量状况. 可见流量已经达到了800M左右,肯定不正常,马上尝试SSH登陆系统,不幸的事,这种情况是很难登录系统操作的.该怎么办? 1.排查问题 第一反应是想马上切断外部网络,通过内网连接查看.可是这样一来流量就会消失,但也很难查找攻击源了. 于是联系机房协助解决,授权机房技术登录到系统,先通过w命令查看是否有异常用户在登录,再看看登录日志/var/log/auth.log,预料之中,日志已经

背景 操作系统:Ubuntu12.04_x64 运行业务:公司业务系统,爬虫程序,数据队列. 服务器托管在外地机房. 突然,频繁收到一组服务器ping监控不可达邮件,赶紧登陆zabbix监控系统查看流量状况. 可见流量已经达到了800M左右,肯定不正常,马上尝试SSH登陆系统,不幸的事,这种情况是很难登录系统操作的.该怎么办? 1.排查问题 第一反应是想马上切断外部网络,通过内网连接查看.可是这样一来流量就会消失,但也很难查找攻击源了. 于是联系机房协助解决,授权机房技术登录到系统,先通过w命令

案例描述 服务器遇到大流量攻击的处理过程.早上接到 IDC 的电话,说我们的一个网段 IP 不停的向外发包,应该是被攻击了,具体哪个 IP不知道,让我们检查一下. 按理分析及解决办法 首先我们要先确定是哪台机器的网卡在向外发包,还好我们这边有 zabbix 监控,我就一台一台的检查,发现有一台的流量跑满了,问题应该出现在这台机器上面. 我登录到机器里面,查看了一下网卡的流量,我的天啊,居然跑了这个多流量. 这台机器主要是运行了一个 tomcat WEB 服务和 oracle 数据库,问题不应该出

欢迎大家前往腾讯云+社区,获取更多腾讯海量技术实践干货哦~ 本文由腾讯云数据库 TencentDB发表于云+社区专栏 9月10日下午,又一起规模化利用Redis未授权访问漏洞攻击数据库的事件发生,此次黑客以勒索钱财作为目的,猖狂至极,甚至直接删除数据库数据.由于腾讯云早在17年就发现过Redis这个漏洞,有个预案,所以这一次更是第一时间启动全网通知提醒,周知腾讯云用户进行防范,同时给出防范和应对措施. [漏洞概述] Redis 默认情况下,会绑定在 0.0.0.0:6379,导致Redis服务暴

漏洞概述 近日,互联网出现watchdogs挖矿病毒,攻击者可以利用Redis未授权访问漏洞入侵服务器,通过内外网扫描感染更多机器.被感染的主机出现 crontab 任务异常.系统文件被删除.CPU 异常等情况,并且会自动感染更多机器,严重影响业务正常运行甚至导致崩溃. 在此,小哥建议您及时开展Redis业务自查并进行升级修复,避免业务和经济损失. 漏洞影响 1.数据泄露.Redis被远程控制,泄漏敏感业务数据 2.病毒感染.如果机器本身未加固,可通过Redis漏洞入侵主机资源,并进行系统破坏.

linux, kill掉占用60%多cpu的进程,几秒后换个pid 和 command 又出现?快速清理木马流程.假设木马的名字是xysbqaxjqy,如果top看不到,可以在/etc/init.d目录下面查看 1.首先锁定三个目录,不能让新木马文件产生chmod 000 /usr/bin/xysbqaxjqy chattr +i /usr/bin chattr +i /bin chattr +i /tmp 2.删除定时任务及文件以及开机启动文件删除定时任务及文件 rm-f /etc/init.

Linux服务器被入侵后的处理过程   突然,频繁收到一组服务器 ping 监控不可达邮件,赶紧登陆 zabbix 监控系统查看流量状况. 可见流量已经达到了 800M 左右,这肯定不正常了,马上尝试 SSH 登陆系统,不幸的事,由于网络堵塞,登录不上或者卡死. 1.排查问题 第一反应是想马上通知机房运维人员切断该服务器外部网络,通过内网连接查看.可是这样一来流量就会消失,就很难查找攻击源了. 于是联系机房协助解决,授权机房技术登录到系统,先通过 w 命令查看是否有异常用户在登录,再看看登录日志

突然,频繁收到一组服务器 ping 监控不可达邮件,赶紧登陆 zabbix 监控系统查看流量状况. 可见流量已经达到了 800M 左右,这肯定不正常了,马上尝试 SSH 登陆系统,不幸的事,由于网络堵塞,登录不上或者卡死. 1.排查问题 第一反应是想马上通知机房运维人员切断该服务器外部网络,通过内网连接查看.可是这样一来流量就会消失,就很难查找攻击源了. 于是联系机房协助解决,授权机房技术登录到系统,先通过 w 命令查看是否有异常用户在登录,再看看登录日志  /var/log/auth.log,

父进程名称: crond 进程名称: bash 进程路径: /usr/bin/bash 进程id: 20,517 命令行参数: /bin/sh /etc/cron.hourly/cron.sh 事件说明: XORDDoS木马入侵后,会在Linux的定时任务中植入恶意代码,定时启动后门程序,当发现该可疑进程时,很可能您的机器已经处于被入侵或者恶意发包的状态,建议您及时清理contab以及自启动项.帮助文档:https://help.aliyun.com/knowledge_detail/36279

服务器出现异常,完全无法访问,ssh登陆都极其缓慢 解决过程 top 查看系统状态,发现 load average 平均负载值非常高,再看排名第一的进程,是一个不认识的进程名:minerd 感觉是被入侵了,上网搜了下minerd是什么东西,是个挖矿程序,看来的确被入侵了,被抓来当矿工了 查看进程信息 ps -ef | grep minerd 是tmp下的一个文件 马上执行 kill 杀掉这个进程,并删除对应文件 再次 top 命令查看,资源占用恢复正常 因为木马有自我改名.自我复制.自动运行的能

腾讯云报告了root口令被暴力破解,并种了木马kpgrbcc 昨晚找到/usr/bin/ rm -rf kpgrbcc 删除 rm -rf kpgrbcb 删除 并ps -ef | grep kpg 确认了不存在,然后更换了root口令 然而并没有卵用,今天发现,还在..... 查看监控,从种马开始,cpu使用几乎100% 使用top查看进程情况 原来是被当了矿机了 ------------------------------------------------------------- 知道是

1.检查 查看定时任务文件发现有两个异常定时任务 [root@manage ~]# cat /etc/crontab # * * * * * user-name command to be executed #*/1 * * * * root /etc/cron.hourly/ssh_deny.sh #*/3 * * * * root /etc/cron.hourly/gcc4.sh 注释掉定时任务 通过top命令查看会有随机字符串的进程,杀掉进程后又会起来另外一个随机字符串的进程,字符串长度1

注:以下所有操作均在CentOS 6.5 x86_64位系统下完成. #准备工作# 前段时间PHP官方发布了一个重要的安全升级公告,修复了两个unserialize函数的严重漏洞,目前受影响的版本有: <5.4.36 <5.5.20 <5.6.4 这里我们直接下载5.6.4的版本进行安装配置,并且在这之前需要先把MySQL和Apache已经安装好,最好Nginx也先安装好,具体见:<CentOS安装MySQL-5.6.10+安全配置>.<CentOS安装Apache-2

安装篇: 一.安装Apache yum install httpd #根据提示,输入Y安装即可成功安装 /etc/init.d/httpd start#启动Apache 备注:Apache启动之后会提示错误: 正在启动 httpd:httpd: Could not reliably determine the server's fully qualif domain name, using ::1 for ServerName 解决办法: vi /etc/httpd/conf/httpd.con

开篇前言 Linux服务器一直给我们的印象是安全.稳定.可靠,性能卓越.由于一来Linux本身的安全机制,Linux上的病毒.木马较少,二则由于宣称Linux是最安全的操作系统,导致很多人对Linux的安全性有个误解:以为它永远不会感染病毒.木马:以为它没有安全漏洞.所以很多Linux服务器都是裸奔的.其实在这次事件之前,我对Linux的安全性方面的认识.重视程度也是有所不足的.系统的安全性是相对而言的,没有绝对的安全,风险无处不在.   案例描述 我们在云端(中信国际电讯CPC)的一台Linu

准备篇: CentOS 6.6系统安装配置图解教程 http://www.osyunwei.com/archives/8398.html 1.配置防火墙,开启80端口.3306端口 vi /etc/sysconfig/iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT

准备篇 一.防火墙配置 CentOS 7.x默认使用的是firewall作为防火墙,这里改为iptables防火墙. 1.关闭firewall: systemctl stop firewalld.service #停止firewall systemctl disable firewalld.service #禁止firewall开机启动 2.安装iptables防火墙 yum install iptables-services #安装 vi /etc/sysconfig/iptables #编辑