解决linux中挖矿病毒

最新推荐文章于 2025-03-05 12:12:39 发布

几米夜空

最新推荐文章于 2025-03-05 12:12:39 发布

阅读量1w

点赞数 13

分类专栏： linux shell waf

本文链接：https://blog.csdn.net/chen_jianjian/article/details/118693433

版权

本文记录了一次服务器遭受病毒攻击的过程。病毒通过高CPU占用进程、定时任务及守护进程运行，利用base64编码的shell脚本进行网络通信。分析显示病毒可能通过暴力破解SSH登录。解决方案包括删除病毒文件、检查并修改SSH密码，同时加强服务器安全措施。日志显示存在多次SSH暴力破解尝试，进一步确认了攻击来源。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

服务器服务不响应

有同事反应gitlab无法使用，登录服务器后台，发现有个进程占用CPU很高，进程名异常

获取病毒绝对路径

[root@localhost ~]# cat /proc/17521/cmdline 
wswfEOH6[root@localhost ~]# ls -l /proc/17521/exe 
lrwxrwxrwx. 1 root root 0 7月  13 10:03 /proc/17521/exe -> /root/b5e9c4b2a988579aa182c39360e629bd (deleted)

这边病毒启动后已删除

查看病毒是否有守护

发现病毒有守护且病毒是通过定时任务启动的，杀掉病毒及其守护进程

[root@localhost ~]# ls -l /proc/2151/exe 
lrwxrwxrwx. 1 root root 0 7月  13 10:10 /proc/2151/exe -> /root/9330c5e316c24db405cffc8e22abdbb3 (deleted)
[root@localhost ~]# kill -9 2151
[root@localhost ~]# kill -9 17521