记一次网络安全应急响应实战

目录

一、问题发现

二、问题检测

三、登陆服务器排查

清理病毒：

查询病毒类型：

查询病毒位置：

删除病毒文件：

结束病毒进程：

病毒复发再次清理：

总结：

---

一、问题发现

某天晚上，日常巡视博客的运行状态时，发现博客无法访问，显示数据库连接失败，如图

 第一反应，应该是面板的MySQL出了问题，于是登陆面板检查

二、问题检测

登陆面板后，发现MySQL停止服务，于是尝试打开，但是打开后发现又马上停止运行

然后又发现CPU占用率达到100%

由CPU使用率统计图可知，该服务器从3.26日就已经CPU占用率达到100%，并已持续多日，于是登陆服务器查看服务器CPU进程

三、登陆服务器排查

这里使用ssh登陆

登录后使用 top 指令查看CPU进程

 发现一个名为  xmrig 的程序占用了CPU 100%的进程

清理病毒：

查询病毒类型：

经查询

xmrig是一种挖矿病毒,通常会抢占服务器的资源,导致服务器超负荷运转,出现服务宕机的情况

 该病毒在github即可下载

查询病毒位置：

使用指令：

find / -name xmrig

删除病毒文件：

rm -rf /tmp/xmrig

结束病毒进程：

kill -9 2392

病毒复发再次清理：

本以为已经彻底清除病毒，没想到过了不到半小时病毒又起来了，初步判断应该是病毒还留有系统定时任务

使用以下指令

crontab -r

过了一夜，病毒没有复发，清理成功

总结：

搭建网站尽量选择宝塔，并搭配防火墙及蜜罐，不要用小皮，公益面板漏洞太多，博主在此次之后将面板果断换成了宝塔