服务器被黑解决记录

日前一台服务器被黑,被搞成了矿机,这里记录一下解决过程:

照例用htop查看一台服务器运行情况,发现了可疑进程,cpu占用700%之多,这台服务器基本上是闲置的,肯定不正常

可以看到进程名为minerd

首先看进程pid,查找进程占用文件

除了看到占用文件外,还看到一个实时的向外的TCP连接,首先禁止掉这个连接

剩下的就是一一揪出可疑的文件了

找到/lib/firmware/目录下存在yam文件夹

bin后缀名不正常,删掉

/home/目录下存在非正常可执行文件,名字就叫做minerd

拿到root权限后如果想要登录,一般是添加公钥了,查看.ssh目录

一切正常,不应该啊,回想起前几天进入.ssh目录发现一个可疑的文件,记录着一段公钥,编码不太正常,部分乱码,当时隐隐觉得有问题,但只是隐隐觉得,没多想随手删掉了,现在想想当时真机智,查看历史命令记录果真没记错

为防止再生查看crontab

果真发现了可疑任务,这段也是前几天查看crontab注释掉的,再次为自己的机智点赞。

然后killall minerd查看是否再生,两天了进程没有再现,由此得知服务器安全了。

事实上阿里云盾在侵入后已经提示了非法登陆,只不过谁没事登陆阿里云账号呢,其他人也没注意就过去了。

剩下的就是慢慢收尾了,查看一些配置文件是否被修改了。

看来入侵的人技术还不太高,若甩出个ssh后门,chattr锁定系统文件什么的就更麻烦了。

至于入侵,估计是Redis 未授权访问缺陷的原因,目前临时禁止redis的对外链接,下周优化下防火墙规则和redis安全。

[更新]

优化了一下防火墙规则,阿里云服务器有两个网卡,外网与内网各一个,针对不同网卡指定不同的规则,redis走外网也通过IP白名单,基本上安全了

[附]

修复 redis 的后门,

  1. 配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
  2. 配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
  3. 配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度
  4. 好消息是Redis作者表示将会开发”real user”,区分普通用户和admin权限,普通用户将会被禁止运行某些命令,如conf

发表评论

电子邮件地址不会被公开。 必填项已用*标注