centos服务器中木马后的处理和预防

背景

自己用的一台服务器中了挖矿木马，根据清木马的经历，特意写了这篇文章，这不能算是一个权威教程，因为自己对木马的机制并没有彻底的了解，只当是一个记录和讨论的方式。

中木马的迹象

如果你的服务器出现以下迹象，比如ssh连接登录后输入命令很慢，或者是请求服务器上的后端服务变得很卡，这时候就可以用top命令看一下服务器上进程的资源占用，如果有异常占用资源特别高的进程（像是挖矿类的木马，可能进程的CPU占用能到99%），那服务器大概率就是中木马了。

发现异常后的处理

常见的处理方式

主要可以参考以下文章里的方式：
linux系统入侵排查以及木马清除
一次Linux服务器被入侵和删除木马程序的经历
一次centos7.3系统中病毒排查经历
黑客入侵检查

可以看到处理方式很多，都是大家的经验教训。我这里只摘出其中很有用的两点说一下：

1. 服务器中木马后，首先根据top命令获取到异常进程的pid，使用lsof -p < pid >可以查看异常进程的执行文件。可以尝试用chmod -R -x 执行文件目录，来让执行文件失去可执行性。删除往往没有作用，因为木马进程有自己的保护机制，检测到被删除后会重新下载一份。
2. 查看crontab中是否有写入异常的定时任务，病毒往往会在crontab中设置定时任务来保活。

但是无论你怎么杀木马，怎么删文件，还是可能会有病毒的残留，最稳妥的方式就是重装系统。

预防

因为现在的木马进程保活机制做的很完善，你可能很难杀掉木马进程，在使用各种方式去查杀木马进程时，自己肯定是无比的后悔为什么不把安全机制做完善一些。下面我记录几点基本的安全设置，以后看到其他资料会再来补充。

1. 避免弱口令。弱口令是最容易中木马的原因，别人一旦获取到了你的服务器口令，就相当于有了服务器的控制权。
2. ssh端口不要使用默认的22端口。因为网络上有很多破解程序一直在扫描破解公网上的服务器，通过修改ssh端口可以避免一定量的破解访问。
3. 禁止root的远程登录。远程登录时使用普通用户，当需要用到root权限时，再用sudo来提权。