來自：開源中國(guó)，作者：我叫劉半仙?

鏈接：https://my.oschina.net/liughDevelop/blog/1786631

“

某日，正在午休中，突然一則噩耗從前線傳來：網(wǎng)站不能訪問了！

此項(xiàng)目是我負(fù)責(zé)，線上服務(wù)器用的是某訊云的，運(yùn)行著 Tomcat，MySQL，MongoDB，ActiveMQ 等程序。

排查過程

我以 150+ 的手速立即打開了服務(wù)器，看到 Tomcat 掛了，然后順其自然的重啟，啟動(dòng)過程中直接被 killed，再試試數(shù)據(jù)庫，同樣沒成功，多次嘗試甚至重啟機(jī)器無果。

機(jī)智的我打了個(gè) Top，出現(xiàn)以下內(nèi)容：

這是誰運(yùn)行的程序？不管三七二十一先殺掉再說，因?yàn)樗褪?Tomcat 等程序啟動(dòng)不了的元兇。

然而并沒有什么卵用，過一會(huì)再看那個(gè)東西又跑出來占 CPU。懷疑是個(gè)定時(shí)任務(wù)：

什么鬼，是個(gè)圖片？立即訪問了一下：

好尷尬，但是心思細(xì)膩的我早知道沒這么簡(jiǎn)單，肯定只是偽裝，crul 過去是下面的腳本，過程就是在挖礦：

有興趣的同學(xué)想查看以上完整源代碼，命令行運(yùn)行下面指令(不分操作系統(tǒng)，方便安全無污染)：

既然知道它是個(gè)定時(shí)任務(wù)，那就先取消了它，并且看看它是誰在運(yùn)行：

殺掉，找到存放目錄：

進(jìn)入臨時(shí)目錄：

被我發(fā)現(xiàn)配置文件了，先來看看內(nèi)容：

虎軀一震，發(fā)現(xiàn)了不少信息啊，User 是他的 Server 的登錄用戶,下面是密碼，只可惜加密過，應(yīng)該找不到對(duì)方。

算了，大度的我先不和你計(jì)較。干掉這兩個(gè)文件后再查看 Top：

解決辦法

找到寄生的目錄，一般都會(huì)在 tmp 里，我這個(gè)是在?/var/tmp/。首先把 crontab 干掉，殺掉進(jìn)程，再刪除產(chǎn)生的文件。啟動(dòng) Tomcat 等程序，大功告成！

等等，這遠(yuǎn)遠(yuǎn)不夠，考慮到能被拿去挖礦的前提下你的服務(wù)器都已經(jīng)被黑客入侵了，修復(fù)漏洞才對(duì)，不然你殺掉進(jìn)程刪掉文件后，黑客后門進(jìn)來 history 一敲，都知道你做了啥修復(fù)手段。

所以上面辦法治標(biāo)不治本，我后續(xù)做了以下工作：

• 把所有軟件升級(jí)到新版本。

• 修改所有軟件默認(rèn)端口號(hào)。

• 打開 ssh/authorized_keys，刪除不認(rèn)識(shí)的密鑰。

• 刪除用戶列表中陌生的帳號(hào)。

• 封了他的 ip。

• SSH 使用密鑰登錄并禁止口令登錄(這個(gè)一般是加運(yùn)維一個(gè)人的秘鑰)。

對(duì)了，本次遭受攻擊是低版本 ActiveMQ 開放端口 61616 有漏洞，大家記得做優(yōu)化。

遇到挖礦木馬最好的解決方式：將主機(jī)鏡像、找出病毒木馬、分析入侵原因、檢查業(yè)務(wù)程序、重裝系統(tǒng)、修復(fù)漏洞、再重新部署系統(tǒng)。

寫在最后

網(wǎng)友提供的一勞永逸終極解決辦法：把你自己的挖礦腳本掛上去運(yùn)行，這樣別人就算掛腳本也跑不起來了。

---

●編號(hào)1003，輸入編號(hào)直達(dá)本文

●輸入m獲取文章目錄

推薦↓↓↓

Linux學(xué)習(xí)

更多推薦《25個(gè)技術(shù)類公眾微信》

涵蓋：程序人生、算法與數(shù)據(jù)結(jié)構(gòu)、黑客技術(shù)與網(wǎng)絡(luò)安全、大數(shù)據(jù)技術(shù)、前端開發(fā)、Java、Python、Web開發(fā)、安卓開發(fā)、iOS開發(fā)、C/C++、.NET、Linux、數(shù)據(jù)庫、運(yùn)維等。

總結(jié)

以上是生活随笔為你收集整理的net start mysql 服务名无效_记一次服务器被植入挖矿木马cpu飙升200%解决过程的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。