工作中遇到的木马文件

挖矿软件

1-rshim 挖矿木马

服务器间歇性负载增高,内存占用过多

top 发现名为 rshim 的奇怪进程
[root@tx_pmwy ~]# ps -ef | grep rshim | grep  -v grep
root      1367     1  0  2021 ?        2-15:15:33 /usr/sbin/rshim

kill 掉

[root@tx_pmwy ~]# kill 1367
[root@tx_pmwy ~]# ps -ef | grep rshim | grep  -v grep

查看rshim的所有有关文件并删除

[root@tx_pmwy ~]# whereis rshim
rshim: /usr/sbin/rshim /etc/rshim.conf /usr/share/man/man8/rshim.8.gz
[root@tx_pmwy ~]# rm -rf /usr/sbin/rshim /etc/rshim.conf /usr/share/man/man8/rshim.8.gz

查询所有用户并删除

cat /etc/passwd | cut -f 1 -d :
发现有可疑用户 hilde
userdel -r hilde

分析原因

一开始部署redis设置了所有ip都可以访问，但是又没有设置密码，所以导致了这个问题

解决方法：把redis设置密码