onlyellow的博客

朋友的云主机被入侵挖矿了，说是杀不掉。 登录检查了下，发现是因为crontab和守护进程双重保险。 写脚本批量删除即可 脚本内容如下 #!/bin/bash guard_name=ps -ef|awk '{print $8}' |grep -E ^[[:alnum:]]{12}$ guard_pid=ps -ef|grep $guard_name|awk '{print $2}' miner_pid=ps -ef|grep kthreaddi |awk '{print $2}' virus_name=cro

socket, core, threads是什么概念呢 （1）socket就是主板上插cpu的槽的数目，也即管理员说的”路“ （2）core就是我们平时说的”核“，即双核，4核等 （3）thread就是每个core的硬件线程数，即超线程 具体例子，某个服务器是：2路4核超线程（一般默认为2个线程），那么，通过cat /proc/cpuinfo看到的是2*4*2=16个process

http://news.iciba.com/salon/yule/1572916.shtml?f=mini&p=a1

公司环境由于弱口令，又一次中招了。 这次木马不像上次那样简简单单删除了。 一直有个/bin/njKA*** 的进程启动。杀了又有。 试着删了后创建同名文件并且加上i属性：发现问题了：chattr命令不能用。 ll查看chattr权限：000 蛋疼，可执行权限没了。试着加上x，发现权限不够。 用lsattr查看chattr的属性，结果提示lsattr无此命令。 从其他机器cop

排查病毒时记录下hacker的手段

① 刷breed https://www.landiannews.com/archives/31360.html 这篇帖子教程很详细。 但是补充几点： 1. k2要能上外网（因为需要wget breed下来）。所以我的做法是吧k2的WAN口接到一个能上网的路由器的LAN口上，k2动态获取IP后就能直接上网。然后从k2的LAN口再接一根网线到PC。 2.  修改那个重启值得时候（5），