记一次阿里云服务器CPU长期100%发现被被种挖矿程序解决的过程（一摸一样，只是没查到怎么进来的，入侵）
centos 7
記一次阿里云服務器被被種挖礦程序解決的過程
1、原因
偶爾發現我的服務器CPU使用率長期處于100%，就登上服務器看了一下
2、查看進程
| 1 | [root@izwz94xp1kwkcahxd1vey6z /]# top |
發現有一個exin的進程cpu使用率高達99%
3、看看是個什么東西
exin的pid為3363
| 1 | [root@izwz94xp1kwkcahxd1vey6z /]# cd /proc/3363 |
發現是在exe -> /usr/bin/exin目錄下
4、查看防火墻信息
| 1 | [root@izwz94xp1kwkcahxd1vey6z 3363]# iptables -L -n -v |
發現防火墻被篡改增加了很多國外的未知ip
此時其實問題已經找到了，這個進程就是挖礦程序，先kill掉
| 1 | [root@izwz94xp1kwkcahxd1vey6z 3363]# kill -9 3363 |
不過一般這種挖礦程序都不會這么輕易被干掉的，我們繼續
5、查看ROOT定時任務
| 1 | [root@izwz94xp1kwkcahxd1vey6z 3363]# crontab -l |
果然發現了一條定時任務
可以看到是每隔19分鐘執行一次腳本，腳本的內容在/etc/cron.hourly/agetty。我們跟進查看一下。
6、看看是個什么東西
| 1 | [root@izwz94xp1kwkcahxd1vey6z 3363]# cat /etc/cron.hourly/agetty |
很明顯這個腳本是檢查exin進程是否還在，如果不在就用nohup繼續在后臺啟動并將標準和錯誤輸出重定向給null，也就是不輸出。
所以只kill掉exin這個進程的話每隔19分鐘還會再啟動。
但是肯定沒那么簡單，還有其他的定時任務來保證木馬運行。
7、把定時文件干掉
| 1 | [root@izwz94xp1kwkcahxd1vey6z 3363]# cd /etc/cron.hourly/ |
8、把定時任務清理掉
如果你本身是沒有定時任務的就直接全部清掉
| 1 | [root@izwz94xp1kwkcahxd1vey6z /]# crontab -r |
9、繼續查看其他cron下的腳本
| 1 | [root@izwz94xp1kwkcahxd1vey6z /]# ll /etc/cron.d |
這個spool文件的日期是2019年的，很明顯有問題！
| 1 | [root@izwz94xp1kwkcahxd1vey6z /]# cat /etc/cron.d/spool |
意思他一直去檢測系統進程，沒有就會去網上下。
10、刪掉有問題的定時腳本
總結下來共在以下地方發現修改的配置，全部刪除
| 1 | /dev/shm/swapfile |
提示權限不夠的，執行chattr就行了
| 1 | [root@izwz94xp1kwkcahxd1vey6z bin]# rm -rf config.json |
11、清理SSH公鑰
| 1 | [root@izwz94xp1kwkcahxd1vey6z ~]# cd /root/.ssh/ |
12、恢復阿里云安全程序
| 1 | wget http://update.aegis.aliyun.com/download/install.sh |
13、查看網絡連接
| 1 | [root@izwz94xp1kwkcahxd1vey6z /]# netstat -na |
發現很多國外的ip，大概率就是關于挖礦的地址了
14、封禁掉這些IP
這里其實應該封禁調一些ip段更好
| 1 | iptables -I INPUT -s 149.56.101.79 -j DROP |
15、檢查防火墻
也不知道殺干凈了沒，再觀察觀察吧
有一說一
這些人，真的煩。
總結
以上是生活随笔為你收集整理的记一次阿里云服务器CPU长期100%发现被被种挖矿程序解决的过程（一摸一样，只是没查到怎么进来的，入侵）的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： Python之OS模块：os.acces
- 下一篇： 又见斐波那契~矩阵快速幂入门题