特征1: 中了病毒后,疯狂运行CPU
运行用户是apache
用户资料:
$ cat /etc/passwd
apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin
//查看PID对应进程操作
$ strace -p PID
第一次尝试: 先不急着kill掉程序,因为对于病毒kill是没用的
第一直觉肯定是
crontab -l //查看定时任务
crontab -e //修改定时任务
看到第一句就是被恶意修改的定时任务 从xxx.xxx.xx.xxx IP地址获取
马上删掉定时任务,
下一步就是查看该进程中的依赖文件
systemctl status PID
依赖文件分别为
/var/tmp/kinsing
/tmp/kdevtmpfsi
进行删除,删除文件后又被创建
第二次尝试: 清除用户, 因为是apache用户, 只能对apache这个软件进行卸载,该用户进行手动删除,重装apache
第三次尝试: 占位文件, 有效但是并不彻底解决
第四次尝试: 找出所有apache用户创建的文件
$ find / -user apache
找到所有文件下, 带有cron关键字的文件
如下一个可疑的: /var/spool/cron/apache
vi 打开马上看见一句 定时任务, 可以确定