记一次服务器挂马处理

事件发现原因：想使用某个服务，发现服务挂掉了，然后通过其他方式登录到Linux主机，启动服务发现服务启动不了，随后查看crontab列表发现蹊跷，然后逐步处理

定时任务列表

@daily /var/tmp/.../.logs/1
@reboot /var/tmp/.../.logs/run > /dev/null 2>&1 & disown
@reboot /var/tmp/.../.logs/run > /dev/null 2>&1 & disown
@monthly /var/tmp/.../.logs/run  > /dev/null 2>&1 & disown
@monthly /var/tmp/.../.logs/run  > /dev/null 2>&1 & disown

拿着这个去百度一下，发现是挖矿程序

2、第二步骤，保留证据，查看登录日志

[root@localhost ]# last 
root     pts/1        203.168.10.0     Tue May 17 17:36 - 18:06  (00:30)
root     pts/5        203.168.10.0     Tue May 17 17:22 - 18:06  (00:44)
root     pts/4        203.168.10.0     Tue May 17 17:20 - 19:33  (02:12)
root     pts/5        203.168.10.0     Tue May 17 16:05 - 17:11  (01:06)
root     pts/4        203.168.10.0     Tue May 17 16:03 - 16:21  (00:17)
root     pts/3        203.168.10.0     Tue May 17 16:03 - 18:15  (02:11)
root     pts/3        203.168.10.0     Tue May 17 14:29 - 14:58  (00:29)
root     pts/2        203.168.10.0     Tue May 17 14:28 - 17:36  (03:08)
root     pts/1        203.168.10.0     Tue May 17 14:24 - 17:35  (03:11)

发现外地IP登录

查询登录账号，发现root登录 

3.第三步：

1）修改用户密码，以及VNC密码，然后把免密码登录ssh删除掉

2）删除掉/var/tmp/.../.logs/下面的文件

[root@localhost .logs]# rm -rf /var/tmp/.../.logs/1
[root@localhost .logs]# rm -rf /var/tmp/.../.logs/run
[root@localhost .logs]# rm -rf /var/tmp/.../.logs/run
[root@localhost .logs]# rm -rf /var/tmp/.../.logs/run
[root@localhost .logs]# rm -rf /var/tmp/.../.logs/run
[root@localhost .logs]# rm -rf /var/tmp/.../

3）删除ssh认证失败，我可是Root用户，

通过chatrr 命令常与 lsattr 命令合用处理，解决掉这个问题

4）查看系统用户是否有增加/etc/shadow

5)查看自动启动文件有没有被改动 /etc/rc.local

6)查看命令，有没有被别名化

[root@localhost ~]# cat .bashrc
# .bashrc

# User specific aliases and functions

alias rm='rm -i'
alias cp='cp -i'
alias mv='mv -i'

# Source global definitions
if [ -f /etc/bashrc ]; then
        . /etc/bashrc
fi
 

4、重启观察是否还有诡异的进程