阿里云服务器被挖矿问题

下午发现服务器CPU:

12618 root      20   0  680m  17m 1280 S 699.9  0.1  72:13.24 wnTKYg 

网上收索解决办法copy如下：

下面就讲解wnTKYg如何清除。最近项目在做性能测试，发现CPU使用率异常，无人访问时CPU也一直保持75%，然后在xShell上top了一下，发现wnTKYg这个程序CPU占用率300%

直觉告诉我，一定是木马，下意识的把它kill了，但是一分钟之后又自动重启了，于是百度了一下，发现这个东西叫做挖矿工，简单的说，就是别人用你的服务器去做它自己的事，然后赚钱。

       知道wnTKYg是什么鬼之后，我不急着杀死它，而是特别好奇它来自何方，怎么进来的，百度上关于它的帖子特别少（这也是我决定写这篇帖子的主要原因），说是钻了redis的空子进来的，我基本上赞同这个说法，第一步就是对redis进行了配置上的修改：

① 把默认的端口号6379给改了

② 把密码改的更复杂了

③ 把bind xx.xx.x.x xx.xx.xx.xx改了

             修改redis是防止这熊孩子再进来， 下一步就是把已经入驻的木马杀死，它不仅使用我的服务器，它还登录我的账号，所以查看了  /root/.ssh 下的文件，在/root/.ssh/known_hosts中发现了我不认识的IP，绝对有问题，于是干脆把  /root/.ssh 下的文件都删了，省事了。

       第三步就是要找到所有关于病毒的文件， 执行命令  find / -name wnTKYg*，只有/tmp下有这个文件，删了，然后就去kill wnTKYg进程，你以为这样它就可以死了吗？Never！一分钟之后它又复活了，我猜测一定有守护进程在唤醒它，于是我再kill  然后top观察进行变化，终于被我发现了，有一个 /tmp/ddg.1007进程很可疑，于是百度这个东东验证了一下，果然，就是 挖矿工的守护进程，于是把它也杀了，至此，病毒被我解决了，异地登录，安全扫描什么的也被我解决了。

             因为在360安全论坛里留下了我的QQ，很多哥们也遇到了这个问题，加了我好友，并且描述了他们的一些情况，我会把他们的改进和补充也写在此贴里，有的哥们会有个定时任务下载这些东西，目录 /var/spool/cron，记得留意这个文件夹，如果遇到，就把它干掉。

             安全问题依然严峻，于是找了一家安全公司--安全狗咨询了下相关的安全业务，发现蛮贵的，都是万开头的，而且我也不知道他们水平怎么样，于是把我遇到的问题跟业务员说了，看看他们怎么解决，怎么收费，谈判了一下午，定价3500，没的再低了， 哎，还是我好，又为公司省了3500。

     

    因为发了这篇帖子，一位和我情况差不多的网友也提供了一种解决方案，我把他的也贴进来与大家分享谢谢这位网友：首先关闭挖矿的服务器访问  iptables  -A  INPUT  -s   xmr.crypto-pool.fr  -j  DROP
iptables  -A  OUTPUT  -d  xmr.crypto-pool.fr  -j  DROP           然后删除yam 文件     用find / -name yam查找yam 文件         之后 找到wnTKYg 所在目录 取消掉其权限   并删除 然后再取消掉 tmp 的权限并删除   之后 pkill  wnTKYg就OK了。

当然，我也咨询了阿里的解决方案，有两个，①找第三方安全公司杀②把数据备份一下，重置系统 

======================================================================================

解决minerd并不是最终的目的，主要是要查找问题根源，我的服务器问题出在了redis服务了，黑客利用了redis的一个漏洞获得了服务器的访问权限，http://blog.jobbole.com/94518/然后就注入了病毒，下面是解决办法和清除工作：

1. 修复 redis 的后门,

1. 配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
2. 配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
3. 配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度
4. 好消息是Redis作者表示将会开发”real user”，区分普通用户和admin权限，普通用户将会被禁止运行某些命令，如conf

2. 打开 ~/.ssh/authorized_keys, 删除你不认识的账号

3. 查看你的用户列表，是不是有你不认识的用户添加进来。 如果有就删除掉.