Gitlab进程出现exe进程一直CPU占用200%

jinGab进程出现exe进程一直CPU占用200%

-最近一直报警，gitlab的服务器负载占用率较高，通过top命令查看发现一个USER名为git的exe进程CPU占用200%，kill掉之后反复出现，应该是子进程，然后查找出父进程：pstree -p|more；杀掉父进程和子进程，过了几天又出现。
-然后通过pid找到这个进程运行的命令，top后查看pid在/proc/里面，发现exe进程软连接到/tmp/tmp.swap,查看服务器发现swap分区没有关闭，先关闭swap分区：swapoff -a；关闭之后然在杀掉，先观察几天，如果有问题在更新。

后期发现这是一个挖矿程序，利用git用户进行登陆，然后远程运行不明代码进行挖矿，先杀掉进程之后，然后禁止git用户登录，然后在观察一段时间，后期有问题，及时更新。

发现近期还有回复说不知道怎么杀掉，这次截图在描述一下。

[root@gitlab-jenkins ~]# top    #查看pid
[root@gitlab-jenkins ~]# kill -9   pid #杀掉进程，会发现杀掉之后隔几分钟又出现，下一步
[root@gitlab-jenkins ~]# pstree -p|more    #杀不掉查看父进程
[root@gitlab-jenkins ~]# kill -9 杀掉父进程，然后在杀掉子进程
[root@gitlab-jenkins ~]# cd /proc/(pid)    #通过pid查看运行的内容
[root@gitlab-jenkins ~]# ls
lrwxrwxrwx  1 git git 0 Feb 14 11:18 cwd -> /var/opt/gitlab/gitlab-rails/working    #进程所在目录
lrwxrwxrwx  1 git git 0 Feb 14 11:01 exe -> /opt/gitlab/embedded/bin/ruby        #进程类型
[root@gitlab-jenkins ~]# ps -aux |grep -v grep|grep pid      #也可以通过命令查看
[root@gitlab-jenkins ~]# swapoff -a        #关闭swap分区
[root@gitlab-jenkins ~]# vim /etc/passwd
git:x:995:992::/var/opt/gitlab:/bin/nologin        #设置为/bin/nologin，禁止登陆