阿里云服务器被挖矿程序侵入问题

一、起因

        公司需要自行管理代码，所以搞了个阿里云服务器装Gitlab，装的时候版本是13.9.4（在Gitlab挖矿漏洞的版本内）。一直正常使用，然后半夜突然收到阿里云告警短信，说服务器可能存在挖矿程序，部分端口被禁用。于是白天弄完其他事情后开始处理这个挖矿程序。

二、过程

        之前也有服务器被这样搞过，所以想着处理起来应该也很快，结果，并不顺利，下面展开说

2.1 定位挖矿程序位置

•  先用top命令查看服务器资源占用情况，发现两个用户是git的exe，把CPU占满了
•  再用lsof -p [pid]查询程序来源，发现是从100.20.97.83.ro.ovo.sc:https这个地方下载过来的，一查，是国外的ip，挖矿程序在执行完后已被删除
• 使用su git 进度git用户，使用crontab -l 查看有没有定时任务启动，结果发现也没有，好家伙，没有定时任务，也没有执行程序，那应该是守护进程弄的了。根据某度查询，发现是正在使用的gitlab版本有远程漏洞，所以被钻了空子。
• 停掉gitlab（gitlab-ctl stop）࿰