***查杀

***查杀
挖矿***案件
Linux中毒的现象
服务器带宽异常
系统产生多余不明用户
开机启动不明服务和crontab任务中一些来历不明的任务
服务器CPU 100% 特别卡
远程连接不上

检查步骤

1. 检查系统日志
2. 检查系统用户
3. 检查异常进程
4. 检查异常系统文件
5. 检查网络
6. 检查系统计划任务
7. 检查系统后门
8. 检查系统服务
9. 检查RootKit

案例 挖矿***案例

1.Redis未授权导致被***
2.种了挖矿程序

案例2: Xor DDOS
开发人员设计弱口令导致被种马

last -> W -> top -> netstat -anltp -> /var/log/cron ->发现/etc/cron. hourly/cron.sh-> crontab -> /lib/udev/udev删除-> crontab -> /boot -> /etc/init.d/ -> /etc/rc.*