其他分享
首页 > 其他分享> > 阿里云服务器被挖矿

阿里云服务器被挖矿

作者:互联网

背景

部署在服务器上的项目很卡很卡,相应很慢或者无响应了;

去看cpu占用情况,发现有个未知程序占用满了;

top命令


  PID USER      PR  NI    VIRT    RES    SHR S %CPU %MEM     TIME+ COMMAND                                                                                             
    1 root      20   0   43376   3720   2552 S  99.9  0.2   0:00.62 [kswapd0]                                                                                          
    2 root      20   0       0      0      0 S  0.0  0.0   0:00.00 kthreadd                                                                                            
    3 root      20   0       0      0      0 S  0.0  0.0   0:00.01 ksoftirqd/0                                                                                         
    5 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kworker/0:0H                                                                                        
    6 root      20   0       0      0      0 S  0.0  0.0   0:00.00 kworker/u4:0                                                                                        
    7 root      rt   0       0      0      0 S  0.0  0.0   0:00.00 migration/0                                                                                         
    8 root      20   0       0      0      0 S  0.0  0.0   0:00.00 rcu_bh                                                                                              
    9 root      20   0       0      0      0 S  0.0  0.0   0:00.15 rcu_sched                                                                                           
   10 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 lru-add-drain                                                                                       
   13 root      20   0       0      0      0 S  0.0  0.0   0:00.00 kdevtmpfs                                                                                           
   14 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 netns                                                                                               
   15 root      20   0       0      0      0 S  0.0  0.0   0:00.00 khungtaskd                                                                                          
   16 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 writeback                                                                                           
   17 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kintegrityd                                                                                         
   18 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 bioset                                                                                              
   19 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 bioset                                                                                              
   20 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 bioset                                                                                              
   21 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kblockd                                                                                             
   22 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 md                                                                                                  
   23 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 edac-poller 

​ 直接使用 kill -9 无法直接停止掉,因为一般挖矿木马都会自动启动、或者定时器

查询挖矿程序所在的文件路径

ps aux|grep [kswapd0]

root       841  0.0  0.9 573920 17068 ?        Ssl  10:43   0:00 /usr/bin/python2 -Es /usr/sbin/tuned -l -P
root       844  0.0  0.2 598632  4312 ?        Ssl  10:43   0:00 /usr/sbin/rsyslogd -n
root       856  0.0  0.0  10728   688 ?        S    10:43   0:00 bioset
root       864  0.0  0.0 110104   872 ttyS0    Ss+  10:43   0:00 /sbin/agetty --keep-baud 115200,38400,9600 ttyS0 vt220
root       865  0.0  0.0 110104   860 tty1     Ss+  10:43   0:00 /sbin/agetty --noclear tty1 linux
root       951  0.0  0.2 112864  4304 ?        Ss   10:43   0:00 /usr/sbin/sshd -D
root       967  0.0  0.3 157260  5892 ?        Ss   10:43   0:00 sshd: root@pts/0
root       981  0.0  0.1 115440  1992 pts/0    Ss   10:43   0:00 -bash
root      1006  0.0  0.1 161884  2196 pts/0    S+   10:43   0:00 top
root      1008  0.0  0.3 157260  5892 ?        Ss   10:44   0:00 sshd: root@pts/1
root      1010  0.0  0.1 115440  1996 pts/1    Ss   10:44   0:00 -bash
root      1072  0.0  0.2  39084  5260 ?        Ss   10:45   0:00 /usr/lib/systemd/systemd-journald
root      1076 99.7  0.1 537728  2744 ?        SNsl 10:45  11:43 /var/tmp/.copydie/[kswapd0] --config=/var/tmp/.copydie/[kswapd0].pid
root      1088  0.0  0.1 191768  2368 pts/1    S    10:51   0:00 su root
root      1089  0.0  0.1 115440  2040 pts/1    S    10:51   0:00 bash
root      1101  0.0  0.0 155360  1880 pts/1    R+   10:57   0:00 ps aux

找到查询结果中包含 [kswapd0]的文件

cd /var/tmp/.copydie

直接根据目录

rm -r [kswapd0]

rm -r [kswapd0].sh

rm -r [kswapd0].pid

问题分析

查了好多同样情况的,看了很多大佬说可能是redis服务端口开放的原因,大部分木马都是通过redis漏洞进入的;

推荐:

1.服务器的远程访问用户密码设置的高级一点;

2.redis连接密码也设置的高级一点;

3.常用端口记得修改;比如远程ssh登录的22端口,改为其他、redis的默认端口、不用的端口统统关闭;

ssh登录端口修改

阿里云的ssh配置端口一般在 /etc/ssh/sshd_config 文件中

#Port 22     -- 原代码,默认注释掉的,默认22
Port 8888    -- 新增一行,ssh登录端口改为8888

如上操作;

后重启ssh服务 /etc/init.d/sshd restart

或者直接重启服务器;

阿里云端口关闭

阿里云服务器 --> 云服务器 --> 网络与安全 --> 安全组 --> 配置规则 --> 授权策略 --> 不需要的全都拒绝:留一个远程登录服务器的不常用的端口,如8888;

标签:10,00,20,0.0,阿里,服务器,00.00,root,挖矿
来源: https://www.cnblogs.com/xy20211005/p/15821727.html