【kthreaddi】记录一次被木马攻击hadoop后如何解决

服务器上之前的hadoop是用用户tsdb安装的

登录上服务器，运行命令top

Tasks: 135 total,   2 running, 133 sleeping,   0 stopped,   0 zombie
%Cpu(s): 96.8 us,  3.2 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
MiB Mem :   3936.1 total,    113.3 free,   3691.2 used,    131.6 buff/cache
MiB Swap:      0.0 total,      0.0 free,      0.0 used.     57.8 avail Mem 

    PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND                                                               
 101603 tsdb      20   0 2439536   2.3g      0 S 193.3  59.5   4426:26 [kthreaddi] 

然后执行查看是什么文件

tsdb@tsdb0127:~$ ls -l /proc/101603/exe
lrwxrwxrwx 1 tsdb tsdb 0 Apr  6 10:26 /proc/101603/exe -> '/tmp/.DeY9M8FQ/[kthreaddi] (deleted)'

之后修改目录权限给root

tsdb@tsdb0127:/tmp$ sudo chown -R root .DeY9M8FQ/
[sudo] password for tsdb: 

kill 9 101603结束这个京城，再次查看top之后就CPU没什么问题

top - 10:29:34 up 2 days, 21:34,  1 user,  load average: 1.48, 2.06, 2.14
Tasks: 135 total,   1 running, 134 sleeping,   0 stopped,   0 zombie
%Cpu(s):  0.3 us,  0.5 sy,  0.0 ni, 99.2 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
MiB Mem :   3936.1 total,   2472.3 free,   1345.9 used,    118.0 buff/cache
MiB Swap:      0.0 total,      0.0 free,      0.0 used.   2409.9 avail Mem 

    PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND                                                               
   1122 tsdb      20   0  951404 942312      4 S   0.7  23.4 255:00.30 nq158n0lw                                                             
      1 root      20   0  102124   5352   2228 S   0.0   0.1   0:05.27 systemd 

但是这里并没有解决问题。

发现有一个tsdb用户启动的进程一直在，而且名称很奇怪，就是PID=1122的这个，这个进程肯定不是我自己启动的，应该还是属于木马的程序。

此时不要杀掉这个进程，最后才杀掉。因为我试过一次，结果木马程序又重新起来了

然后查看crontab -l是有问题的，这个也不是我装的

tsdb@tsdb0127:~$ crontab -l
* * * * * /home/tsdb/hadoop-3.3.0/share/doc/hadoop/api/org/apache/hadoop/fs/azurebfs/constants/kh1yrkyqgy

如何解决呢？因为我安装的Hadoop已经停止了，所以我直接就rm -rf /home/tsdb/hadoop-3.3.0/

然后再杀掉奇怪的进程

kill -9 1122

最后一步就是去crontab -e删除定时任务

最终，猜测是hadoop的问题，因此我把不必要的端口关闭了，并且换了默认端口。

并且非常建议，不要用root用户去安装相关的软件，否则权限太大会造成病毒更难对付的情况。