weixin_45925840的博客

原创 记一次阿里云被执行恶意脚本

由于排查时忘记截图了。。。所以就纯文字 1 遇事第一步先重启，发现马上就100%那肯定是定时任务或开机自动执行的脚本 2 看定时任务 3 crontab -l 删除 crontab -e 删除 4 没权限 chattr 5 使用charttr也不行，chattr命令被删了 6 find / -name chattr 7 把chattr移回 mv charttr /usr/bin 8 解锁 chattr -ai /var/spool/cron/root 9 sudo......