【转帖】记一次服务器被植入挖矿木马CPU飙升200%解决过程！
本帖最后由 qium_01 于 2019-2-19 15:08 编辑转自：https://cloud.tencent.com/developer/article/1181746
线上服务器用的是某讯云的，欢快的完美运行着Tomcat，MySQL，MongoDB，ActiveMQ等程序。突然一则噩耗从前线传来：网站不能访问了！此项目是我负责，我以150+的手速立即打开了服务器，看到Tomcat挂了，然后顺其自然的重启，启动过程中直接被killed，再试试数据库，同样没成功，多次尝试甚至重启机器无果。机制的我打了个top，出现以下内容：
https://ask.qcloudimg.com/http-save/yehe-1253030/gp6e4n2dcp.jpeg?imageView2/2/w/1620这是谁运行的程序？不管三七二十一先杀掉再说，因为它就是Tomcat等程序启动不了的元凶。然而并没有什么卵用，过一会再看那个东西又跑出来占cpu。怀疑是个定时任务：
https://ask.qcloudimg.com/http-save/yehe-1253030/qs9qeakwon.png?imageView2/2/w/1620什么鬼，是个图片？立即访问了一下：
https://ask.qcloudimg.com/http-save/yehe-1253030/erab20wh5j.png?imageView2/2/w/1620好尴尬，但是心思细腻的我早知道没这么简单，肯定只是伪装，crul过去是下面的脚本，过程就是在挖矿：
https://ask.qcloudimg.com/http-save/yehe-1253030/ap7u5ya5b2.jpeg?imageView2/2/w/1620有兴趣的同学想查看以上完整源代码，命令行运行下面指令（不分操作系统，方便安全无污染）：
https://ask.qcloudimg.com/http-save/yehe-1253030/wm61onboac.png?imageView2/2/w/1620既然知道它是个定时任务，那就先取消了它，并且看看它是谁在运行：
https://ask.qcloudimg.com/http-save/yehe-1253030/pc8kl5b9jh.png?imageView2/2/w/1620杀掉，找到存放目录：
https://ask.qcloudimg.com/http-save/yehe-1253030/zz4t7jlyit.png?imageView2/2/w/1620进入临时目录：
https://ask.qcloudimg.com/http-save/yehe-1253030/keiyhokmpn.png?imageView2/2/w/1620被我发现配置文件了，先来看看内容：
https://ask.qcloudimg.com/http-save/yehe-1253030/cb4xnjmrta.jpeg?imageView2/2/w/1620虎躯一震，发现了不少信息啊，user是他的server的登录用户,下面是密码，只可惜加密过，应该找不到对方。算了，大度的我先不和你计较。干掉这两个文件后再查看top：
https://ask.qcloudimg.com/http-save/yehe-1253030/0seumor431.png?imageView2/2/w/1620解决办法找到寄生的目录，一般都会在tmp里，我这个是在/var/tmp/。首先把crontab干掉，杀掉进程，再删除产生的文件。启动Tomcat等程序，大功告成！等等，这远远不够，考虑到能被拿去挖矿的前提下你的服务器都已经被黑客入侵了，修复漏洞才对，不然你杀掉进程删掉文件后，黑客后门进来history一敲，都知道你做了啥修复手段。所以上面办法治标不治本，我后续做了以下工作：1.把所有软件升级到新版本2.修改所有软件默认端口号3.打开ssh/authorized_keys, 删除不认识的密钥4.删除用户列表中陌生的帐号5.封了他的ip6.SSH使用密钥登录并禁止口令登录(这个一般是加运维一个人的秘钥)对了，本次遭受攻击是低版本ActiveMP开放端口61616有漏洞，大家记得做优化。滔哥给提供了最好的方式：将主机镜像、找出病毒木马、分析入侵原因、检查业务程序、重装系统、修复漏洞、再重新部署系统。写在最后网友提供的一劳永逸终极解决办法：把你自己的挖矿脚本挂上去运行，这样别人就算挂脚本也跑不起来了。 没什么一劳永逸的方法，反正我是什么都配置好了以后，自己把自己网站扫描一下看能不能有什么漏洞，有就修复，密码设置复杂一点，一般就没什么太大问题；定时检测自己网站是否有漏洞，不要太被动 楼上的，最后一句话是开玩笑的，其实已经给出了解决办法：滔哥给提供了最好的方式：将主机镜像、找出病毒木马、分析入侵原因、检查业务程序、重装系统、修复漏洞、再重新部署系统 这种遇到好几次了。。。。挂自己的脚本么？ 建议挖出后面那人，不然还会有下一次 小白看的真是一脸懵逼。{:301_975:}{:301_975:}一入网络深是海。。溜了溜了 厉害，直接处理了 最后句话会让你失业的
··哈哈哈哈 你图上写的实际CPU占用不是只有53.2吗 哪有百分之200的 你再仔细看看？ 我上次，测试为了图方便，默认安装redis没有密码，也是挖矿。。。 真的那么神奇