记录一次服务器挖矿病毒攻击-CSDN博客

本文链接：https://blog.csdn.net/LeKZzz/article/details/136677355

本文讲述了作者因小组作业使用弱口令登录服务器，导致服务器被植入挖矿程序。通过排查发现，恶意进程通过cron定时任务每分钟运行，作者删除定时任务、进程及源文件后解决了问题，强调了使用强密码和避免常用用户名的重要性。

摘要由CSDN通过智能技术生成

本文首发于个人博客网站：http://www.blog.lekshome.top/2024/03/08/ji-lu-yi-ci-fu-wu-qi-wa-kuang-bing-du-gong-ji/
由于CSDN并不是本人主要的内容输出平台，所以大多数博客直接由md文档导入且缺少审查和维护，如果存在图片或其他格式错误可以前往上述网站进行查看
CSDN留言不一定能够及时回复，请前往本人博客中进行留言
您的留言和点赞是对我的最大支持！

上学期因为小组作业要用到我的服务器，所以新增了一个`guest`用户，为了方便组员使用所以使用的是弱口令。但是前天阿里云安全中心突然发了封邮件提示有挖矿程序，于是删除对应文件并修改了密码后就没再管了。因为这是台闲置服务器，我也没设置告警，直到今天ssh远程弄ts服务器的时候发现会经常卡死。

本来以为是磁盘读取的问题，但是后来发现是CPU被吃满了。使用top工具监控后发现是一个叫./Opera的进程占用了所有的CPU资源，Opera是一个浏览器的名称，但是我并没有使用过这个浏览器，而且运行用户是guest，结合之前阿里云的提醒，我意识到是服务器被弱口令登陆之后植入了挖矿程序。

在这里插入图片描述

使用ps aux | grep Opera指令查找到这个进程的PID后我杀死了这个进程，但是由于一段时间后这个进程会重新出现且每次重启后都会出现这个进程，所以这个进程很显然存在一个定时任务定时启动来防止进程被杀死。

在查看service和/etc/init.d/都没有头绪后，我选择切换到进程的启动用户guest使用crontab -l指令查看cron定时任务，果不其然存在着四个定时任务，且搜索diicot关键字后发现这果然是个挖矿组织。

在这里插入图片描述

https://www.bilibili.com/read/cv24682966/

这四条指令是 cron 定时任务，它们会定期执行指定的命令或脚本。以下是对这四条指令的解释：

@daily /var/tmp/Documents/./.b4nd1d0

这条指令表示在每天的午夜（00:00）执行 /var/tmp/Documents/./.b4nd1d0 这个命令或脚本。@daily 是 cron 的特殊关键字，等同于 0 0 * * *，表示每天的 0 点。

@reboot /var/tmp/Documents/./.diicot > /dev/null 2>&1 & disown

这条指令表示在系统启动时执行 /var/tmp/Documents/./.diicot 这个命令或脚本。> /dev/null 2>&1 表示将标准输出和标准错误重定向到 /dev/null，以防止输出到终端。& 表示在后台执行该命令，而 disown 命令用于使该命令脱离终端会话，即使关闭终端也不会停止执行。

* * * * * /var/tmp/Documents/./.diicot > /dev/null 2>&1 & disown

这条指令表示每分钟都执行 /var/tmp/Documents/./.diicot 这个命令或脚本。* * * * * 表示分钟、小时、日、月和星期的位置均为通配符，表示每分钟都执行。

@monthly /var/tmp/Documents/./.diicot > /dev/null 2>&1 & disown

这条指令表示在每个月的第一天午夜（00:00）执行 /var/tmp/Documents/./.diicot 这个命令或脚本。@monthly 是 cron 的特殊关键字，等同于 0 0 1 * *，表示每月的第一天的 0 点。