问题现象:
- CPU的使用率一直100%
- 服务器卡顿,无法正常使用
疑似原因:
- 系统密码较弱被破解
- 安装的程序有漏洞被不法分子利用
- 等等
排查步骤:
- 使用top命令观察占用cpu程序的PID(注:恶意程序的名称千奇百怪)
![v2-67e013e6e1ce231176a87b822104bac9_b.jpg](https://img-blog.csdnimg.cn/img_convert/b0b70e266404328904e62a436d634b89.png)
- 通过PID查看该程序所在的目录:ls /proc/XXX/
![v2-04cfd9d89d1c06ca9c57e5caaa75bb56_b.png](https://img-blog.csdnimg.cn/img_convert/cc23b279b4d78c25a4aa718bd8fd70a4.png)
- 执行ll /proc/14202 查看该程序运行的目录
![v2-f4878af59f9a92a0897505c554a7d04a_b.jpg](https://img-blog.csdnimg.cn/img_convert/8b44641e76b31c5bdeb5ba7cda48262e.png)
- 进入该目录并进行查看都有哪些文件
![v2-31ce05af8b1a4f45d0b7ed6f7f1c29ca_b.png](https://img-blog.csdnimg.cn/img_convert/37e3956e7cc4359b525915e5ea165396.png)
![v2-30e636aa85cc822db6890ba62657d453_b.jpg](https://img-blog.csdnimg.cn/img_convert/d0a29916dc7aedc60a014a09dfb303ab.png)
- 将这些文件的权限全部修改成000,使这些程序无法继续执行:chmod 000 -R *
![v2-3c2b2a8d65e30bd6ce2c787fe25bb4cc_b.jpg](https://img-blog.csdnimg.cn/img_convert/e65f67f57859e04b4bf577cada7565ab.png)
- 以上基本可以找出恶意程序所在的目录了,接着我们将该程序kill 掉即可
![v2-d4cfe0d202e66b80a4563c190cfae7ab_b.png](https://img-blog.csdnimg.cn/img_convert/21f77ac179dc403f194651fe2b46e875.png)
- 持续观察即可(该示例通过观察30min,该恶意程序继续没有再执行)
![v2-b360ec2efce761de491cefe336ddae6e_b.jpg](https://img-blog.csdnimg.cn/img_convert/d5be6be341bed50f833d7eefd45ba275.png)
补充:
- 建议执行crontab -l 查看是否有可疑计划任务在执行,如有请及时删除(crontab -r)
- 通过上面的排查步骤我们可以看到cron程序是运行在/root/.bashtemp/a目录下的,但/root/.bashtemp/目录下还有很多这样的程序,所以也要执行:chmod 000 -R * 将所有恶意程序的权限清除
- 一般来讲通过以上步骤可以将恶意程序干掉,但不排除不法分子还留有其他后门程序,为了避免类似情况发生,建议保存重要数据后重装操作系统
- 后续请对服务器做安全加固,以免再次被入侵,比如更改默认远程端口、配置防火墙规则、设置复杂度较高的密码等方法
作者:董双磊
滴滴云-为开发者而生 滴滴云使者