注册
登录
最近，有同事反映，我校AAA论坛登录异常，我赶紧通过ssh连接远程服务器发现无法登录，使用ping命令测试服务器连接正常。  接下来登录阿里云服务器管理页面，发现如下告警信息：  当时就慌了，挖矿进程？之前有朋友在家搞了几台挖矿服务器，结果噪音太大被邻居投诉。大多数矿机都集中到农村偏远地区了，（我国的比特币矿区基本上都在新疆和内蒙古地区）没有想到这些人居然把木马矿机搞到阿里云服务器上来了。果断重置密码，重启服务器。  重新使用新密码ssh服务器，成功登录。使用top命令查看进程。  可以发现服务器负载出奇的高，cpu一直占用90%以上，而且有一个xig的进程占用了大部分cpu资源。 下面我们要搞清楚xig进程是个啥东东？  这一下解开了庐山真面目。 通过这个url地址发现stratum协议是目前最常用的矿机和矿池之间的TCP通讯协议。看下图科普一下：  然后根据url地址可以找出挖矿软件的源头是http://www.yiluzhuanqian.com  最后我们来处理这个垃圾程序。强烈建议有关部门查封此网站，挖矿没有错，可不能盗用别人服务器资源啊。下面我们分步骤处理此恶意软件。 步骤一：删除硬盘上的yilu文件夹。  步骤二：结束xig进程，然后检查是否还有xig存在。  top命令查看，发现服务器cpu使用率已经正常了。  步骤三：检查系统定时任务，删除恶意任务。  使用crontab -e 删除恶意任务  至此，恶意程序被处理干净，此次事故造成我论坛异常访问两天，同时也给我们敲醒警钟，信息安全重于泰山，定期修改密码，增加密码复杂度可以有效防止类似的ssh密码被暴力破解的事故。愿天下无贼！  |
| 本文出处： https://www.toutiao.com/a6616131726529790477/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
