DDoS木马删除

最近云服务器报错，查看是被DDoS攻击了，经过一些努力，终于完成删除，现总结如下。

目录

一、检测命令是否被更换

二、查看木马源文件

 三、删除

3.1 在crontab计划任务中删除

3.2 删除计划任务文件 

3.3 删除libudev4.so木马源文件

四、删除开机启动项中的木马文件

4.1 删除开机启动木马文件

4.2 删除启动脚本中木马文件

五、检查和重启

5.1 查看是否有木马进程运行

5.2 重启

参考

---

一、检测命令是否被更换

安装rkhunter，此软件可以检测命令是否被DDoS恶意替换。

apt-get rkhunter    #安装

rkhunter --update    #更新

rkhunter -C    #检测

然而并没有发现命令被替换。看来这个杀手不太冷，哈哈哈。

注：如果发现命令被替换用yum -y reinstall XXXX 重新安装，XXXX为命令的组名。

二、查看木马源文件

用top命令查看当前进程，发现恶意进程名为一串十位随机字母。kill进程并没有作用。

ll /proc/XXXX （XXXX为进程ID）查看进程信息，可以看到进程路径。

将木马文件转码并保存到自定义目录

strings /进程路径 > /work/1.log #将病毒转码保存在自定义路径下

 在windows上运行以下命令（注意是windows上）获取把服务器上的病毒文件

scp root@IP地址:/work/1.log .

用记事本打开后如下图，发现DDoS将病毒文件gcc.sh放到了crontab计划任务中。

打开crontab如图，发现最下面多了两个任务gcc.sh、gcc4.sh

打开gcc4.sh如图，可见/lib/libudev4.so和/lib/libudev4.so.6为木马文件。