记录一次linux服务器被留后门如何清退

怎么确定自己的服务器有后门

第一个确定服务存在后门的情况有很多种

1. 可以在网上安装一些免费开源的病毒查杀软件
2. 有一个正常的服务器，进行敏感文件对比，当然这里也有一些不落地木马
3. 服务器莫名占用虚高
4. 使用top、ps、htop来监控可以进程
5. 采用端口扫描的情况，探测异常开放的端口，如nmap，openVAS什么的，也可以使用命令查询
6. 安全日志分析，一般这些日志会被清理

怎么确定是可疑文件

1. 使用反病毒软件扫描文件
2. 文件权限过宽，被莫名锁定
3. 对比文件hash值，hash值不正确千万别着急删除，有可能是你的系统文件被感染木马的文件置换
4. 文件执行可疑指令，如反弹连接，定时任务，下载或访问不正常的文件或者地址等等
5. 文件修改时间，创建时间是否异常，这个很重要
6. 文件存在位置异常
7. 人工查看，有些木马未经编译，特征明显，完全可以使用第一个方法来扫描

怎么清退

最直接一点的，如果不涉及数据存储，完全可以创建系统快照，一键还原到未感染之前的状态

当然如果有必定条件不能还原，情况有多种这里就不一一列举了

找了一台服务器举例

全程采用人工的方式清退，这里只做清退，漏洞修补就不说了哈

服务有一段时间的内存虚高，而且莫名增加了一些文件，确定已中木马

肉眼观察

在临时文件中存在莫名文件

打开看了一下，确定是非系统文件直接删除

crontab -l

查看是否有可以任务

发现并没有

那看看系统文件

首先得看看/etc这个文件夹里面，这里面存在几乎都是一些敏感文件

vim /etc/passwd

 查看是否存在后门用户，当然也有系统自行创建的一堆，不全是自己真正创建的账户，注意查询除root之外的权限超高的用户，一般服务器被入侵，都会想办法提权，然后创建后门用户

如果存在可以用户，不用犹豫直接删除，注意有些软件安装会存在自定创建用户的情况，怕删除错误可以做好备份

vim /etc/ssh/sshd_config

这个文件有时候会被改写，加入一些乱七八糟的语句

如  

AllowUsers *

 通过改写这个文件达到其它用户远程登录的情况

重点关注这个文件的修改时间

这两个文件清理后，我们再看看系统开启了哪些服务

systemctl list-unit-files

发现可以进程，这个查询了一下，貌似是伪装阿里云盾的可疑进程，咱们做好标记

再看看

pstree -up

发现他跑的很欢快，哈哈

三步骤 先停--》再删--》后重启

 sudo systemctl disable A_li_yun_Duns.service

 上面标注好了位置，和截图上的位置分析，去相应的位置删除文件

咱们直接删除

当然较小的文件，咱们看看尝试能不能编辑，有的时候编辑可以发现很多我们没找到的可疑文件

接着找找

有一个被锁定的文件，可疑不正常，编辑试试

咱们直接访问这个页面

这个网站是什么，咱们后续研究

删除这个文件提示权限不够，这是正常的，文件被锁定了

 chattr -d -i 0

先解锁，然后再删除，就ok了

 这应该是被清理过不彻底，新旧木马一起存在，咱们清理一下，重启