记一次redis病毒清理

redis中被植入定时任务

crontab -l

cd /var/spool/cron

里面有个名为 root 的文件

发现怎么删都删不掉

cd ..

lsattr

可以发现cron文件夹及下面的文件可能都被设置了 ia属性

这项指令可改变存放在ext2文件系统上的文件或目录属性，这些属性共有以下8种模式：

a：让文件或目录仅供附加用途。
b：不更新文件或目录的最后存取时间。
c：将文件或目录压缩后存放。
d：将文件或目录排除在倾倒操作之外。
i：不得任意更动文件或目录。
s：保密性删除文件或目录。
S：即时更新文件或目录。
u：预防意外删除。

语法：

chattr [-RV][-v<版本编号>][+/-/=<属性>][文件或目录...]

参数
　　
-R 递归处理，将指定目录下的所有文件及子目录一并处理。

-v<版本编号> 设置文件或目录版本。

-V 显示指令执行过程。

+<属性> 开启文件或目录的该项属性。

-<属性> 关闭文件或目录的该项属性。

=<属性> 指定文件或目录的该项属性。

如果提示chattr: command not found。　说明你的chattr也被修改了　
我这里是卸载了e2fsprogs并重新安装：

yum remove e2fsprogs

yum install -y e2fsprogs

然后修改cron目录的属性

chattr -RV -ia /var/spool/cron/

修改成功，再去删除
终于删了！！

后面发现还有东西

vi ~/.bashrc

被起别名了

在/etc/cron.d目录下发现有个zzh文件
而这个目录是系统定时任务，所以 crontab -l 查不到

内容如下：

正好系统一直提示You have new mail in /var/spool/mail/root

vi /var/spool/mail/root

正是这个东西，移除权限并删除

chattr -ia zzh
rm -rf zzh

完！