记一次云服务器EIP出现异常对外攻击的问题

大家好，我是早九晚十二，目前是做运维相关的工作。写博客是为了积累，希望大家一起进步！
我的主页：早九晚十二

首先祝大家圣诞快乐，Merry Christma！

中毒了

今天云主机运维人员告诉我说，服务器疑似中毒了，纳尼(ÒωÓױ)！

告警信息如下

异常对外攻击EIP：X.X.X.X

出现异常对外扫描攻击：22端口

麻烦您这边检查下，尽快对异常资源进行排查处理

看到这个提示，先不要慌，想一下是哪里出了问题。

解决思路

首先告警了第一件事，先看服务器状态！！！top，free，df等等等等，全部都执行一遍，看看有没有资源异常的情况。

top是最主要的，一般的病毒文件会疯狂侵占cpu，让你的服务器筋疲力尽致死。

执行top查看有无异常进程（如下图，一切正常，看样子这个病毒隐藏的很深~~~）

接下来分析告警信息，22端口扫描攻击，22端口是sshd服务，那只有用户通过sshd登录才能造成这种情况，于是分析可以登录的用户

 cat /etc/passwd|grep -v nologin

目前只存在五个用户能够登录服务器，依次查看用户的登录日志

cat /var/log/messages|grep 用户名|grep systemd-login

最后经过筛查与告警时候的时间，可以看到是test用户出现了异常登录信息，接下来我们查看test用户启动了哪些进程。

ps -ef |grep test

由此可见，的确是test用户启动了一堆异常进程一直下载外站资源，抢了我们的性能，这就是罪魁祸首！

病毒处理

查找异常进程的配置文件路径

lsof -p 1561

进入到异常文件目录,查找目录下的异常文件（带有xmr或mine的标识）

cd /tmp/unix

strings * |grep xmr

通过ip138查询得知，是外境IP

删除所有配置文件

rm -rf unix/

停止所有test进程

ps -ef|grep test|grep -v grep |awk '{print $2}'|xargs kill -9

再次查看

ps -ef|grep test

将test用户删除

userdel test

重点：建议更改sshd端口及root密码。

码字不易。如果文章对您有希望的话，请三连支持一波。
如有问题，欢迎留言，一起探讨，感谢。
也可关注下方公众号，看到留言后会第一时间回复。