阿里云被恶意挖矿的处理方法

谁能想到一个小小的2U4G服务也会被挖矿。。。

但是在排查过程中涨了见识，特此记录

可惜短信没包含怎么清理恶意挖矿软件，只能自己动手百度了

一上线就看到自己的账户密码被暴力破解了（大家用云服务器要搞强密码啊！网络世界太危险了吧！）

1. 先执行top看一下到底是哪个程序cpu占用率高了

第一条的启动命令很可疑

后两条框出来的程序 只剩下用户ID也很奇怪  （我这台机器没装Redis和Prometheus）

2.  检查一下这个PID是什么进程

执行 ls -l /proc/{PID}/exe  

进程指向一个损坏的软连接 感觉不太妙 这样没法删除了

先用kill -9 PID 试一下能不能杀掉该进程

发现杀了以后又很快恢复了

猜测这个进程是有个主进程或者守护进程的 再执行top观察一下哪些进程有关系

找到一个进程感觉很像主进程，一看软连接也是损坏的 ，估计没跑了

kill -9 杀了

虽然软连接损坏了，但这个启动脚本肯定存在过，用find再根目录找一把，发现存在在docker的overlay2里，docker ps -a看一下发现并没有这个container ID。（看来是被暴力破解了以后用docker跑了挖矿软件） 先kill了再说

之后再执行top发现了一个奇怪的启动命令，百度了一下xmrig正是个挖矿软件，看来是找到它了

ps -ef | grep chrony 

chrony百度看是个时间同步的软件，现在来看感觉这个xmrig是利用了这软件（这算不算漏洞啊。。而且这个xmrig藏得还有点深的，涨见识了啊）

都kill了 一个不留！

这个时候CPU已经降下来了 

但是！但是！ 关于xmrig的脚本都消失了 没法看它的工作原理 难受了 下次不会先删了！ 

3.  这里引申出一些没想过的问题

比如docker的overlay2层是可以删除的吗

配了无法登录的用户有可能成为其他程序的执行用户（借刀杀人），应该怎么防护