1. 全栈程序员必看首页

记录服务器被入侵病毒：ssh密码被更改登录失败、恶意程序跑满了cpu、jar包启动失败自动kill、一直弹出You have new mail in /var/spool/mail/root

全栈程序员-站长 • • 未分类 • 阅读 176

记录服务器被入侵病毒：ssh密码被更改登录失败、恶意程序跑满了cpu、jar包启动失败自动kill、一直弹出You have new mail in /var/spool/mail/root

问题现象：

ssh登录密码：无缘无故没人动服务器密码就被更改过，也向同事咨询过没人动过服务器，然后通过修改密码重新登录服务器。
jar包启动失败：启动jar包，随后不久直接被kill

[root@k8s-n4 discovery]# java -jar discovery-1.0.0.RELEASE.jar 

################################################
# #
# ## # # ## ### ### ## ### #
# # # # # # # # # # # # # #
# ### # # ### # # # ## # #
# # # ### ### # # # ### # # ### #
# #
# Obfuscation by Allatori Obfuscator v6.4 DEMO #
# #
# http://www.allatori.com #
# #
################################################

2021-02-18 09:08:01.045  INFO 19907 --- [           main] s.c.a.AnnotationConfigApplicationContex: Refreshing org.springframework.context.annotation.AnnotationConfigApplicationContext@1376c05c: artup date [Thu Feb 18 09:08:01 CST 2021]; root of context hierarchy
...
Killed

不断弹出You have new mail in /var/spool/mail/root：
查看这个的相关内容会发现一直有ERROR

|| ERROR || already running…

From root@k8s-n4.localdomain  Thu Feb 18 09:12:01 2021
Return-Path: <root@k8s-n4.localdomain>
X-Original-To: root
Delivered-To: root@k8s-n4.localdomain
Received: by k8s-n4.localdomain (Postfix, from userid 0)
	id 9ABDD43E1F; Thu, 18 Feb 2021 09:12:01 +0800 (CST)
From: "(Cron Daemon)" <root@k8s-n4.localdomain>
To: root@k8s-n4.localdomain
Subject: Cron <root@k8s-n4> /root/.sshd/sshd
Content-Type: text/plain; charset=UTF-8
Auto-Submitted: auto-generated
Precedence: bulk
X-Cron-Env: <XDG_SESSION_ID=5360>
X-Cron-Env: <XDG_RUNTIME_DIR=/run/user/0>
X-Cron-Env: <LANG=en_US.UTF-8>
X-Cron-Env: <SHELL=/bin/sh>
X-Cron-Env: <HOME=/root>
X-Cron-Env: <PATH=/usr/bin:/bin>
X-Cron-Env: <LOGNAME=root>
X-Cron-Env: <USER=root>
Message-Id: <20210218011201.9ABDD43E1F@k8s-n4.localdomain>
Date: Thu, 18 Feb 2021 09:12:01 +0800 (CST)

||  ERROR  || already running...

第一反应是以为服务器资源不足导致的

查看运行内存、磁盘空间都是足够的
在这里插入图片描述
在这里插入图片描述

被人入侵了，搞了个定时任务，把CPU资源全占用了。系统为了保持稳定，所以自动kill进程

top #查看占用CPU等情况

在这里插入图片描述

直接去进行kill这个sshd的程序会重新生成新的
kill -9 2172 #将这个名为sshd、pid为2172的程序kill掉

crontab -l #查看定时任务
果然这个就是根本问题 被写入了定时任务

在这里插入图片描述

解决

直接把定时任务修改清除

crontab -e #修改定时任务
#进入编辑模式之后直接删除然后wq保存退出

修改root密码

passwd root #修改root密码 建议修改复杂密码 可以去搜个随机密码

删除病毒文件
在这里插入图片描述
在这里插入图片描述

rm -rf /root/.sshd #直接把这个可疑的目录删除掉

查看进程详情
ll /proc/7289
在这里插入图片描述
我也删除了/usr/bin/sshd程序 并通过yum重新安装、启动
然后修改了ssh的端口号 将默认的22端口号做修改

查看计划性任务，因为并不是只通过crontab -e这一种方法进行修改
检查cron.目录下是否有新增的程序
在这里插入图片描述
检查了/etc/cron所有目录下，我看到有几个都新增了这pwnrig程序我就都删除了
直接删除删除不了 因为添加了—-ia属性
在这里插入图片描述
进行删除
随后我怕还有cron计划性任务被修改了东西，我就通过yum进行卸载了然后再重新安装。

检查是否有新增用户，查看到/home目录下新增一个user用户也是近期添加的
使用userdel user 删除用户并不成功
可以通过直接修改/etc/passwd以及/etc/shadow文件
看到文件最下面有关于user用户的信息直接删除并保存退出

大概是我以上步骤操作后，我再次尝试这个kill程序，这个程序会被我kill掉，但是当我重新连接服务器的时候，也就是linux服务器用户登录的时候这个程序还是会生成，也就是说用户登录的时候会加载环境变量，这个攻击者把服务器的环境变量做了修改，导致我一登陆就会产生这个程序！

登陆是加载环境变量的
检查文件
cat /etc/profile
cat /root/.bash_profile
果然发现了端倪
在这里插入图片描述
直接进去修改保存不了，被修改了文件属性
在这里插入图片描述
删除添加的东西然后进行保存

由刚才环境变量的文件中可以得知他把/bin/下的一个程序进行了复制
进入到/bin目录下，因为之前得知大概的时间在Feb月进行筛查在这里插入图片描述
可以看到几个可疑的文件都进行删除

[root@k8s-n4 bin]# rm -rf bprofr 
rm: cannot remove ‘bprofr’: Operation not permitted
[root@k8s-n4 bin]# rm -rf crondr 
rm: cannot remove ‘crondr’: Operation not permitted
[root@k8s-n4 bin]# rm -rf initdr
rm: cannot remove ‘initdr’: Operation not permitted
[root@k8s-n4 bin]# rm -rf sysdr
rm: cannot remove ‘sysdr’: Operation not permitted
[root@k8s-n4 bin]# chattr -ia bprofr crondr initdr sysdr
[root@k8s-n4 bin]# rm -rf bprofr crondr initdr sysdr

最后再尝试kill这个进程，这个名为sshd的程序被我kill了，并且不会重新生成，以及重新登录服务器的时候也不会产生这个程序
解决前：
在这里插入图片描述
解决后：
在这里插入图片描述

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/101819.html原文链接：https://javaforall.net

赞 (0)
全栈程序员-站长的头像全栈程序员-站长
0 0


相关推荐

  • HDFS命令_hadoop集群命令

    HDFS命令_hadoop集群命令

    HDFS命令_hadoop集群命令hdfs常用命令：第一部分：hdfs文件系统命令第一类：文件路径增删改查系列：hdfsdfs-mkdirdir创建文件夹hdfsdfs-rmrdir删除文件夹dirhdfsdfs-ls查看目录文件信息hdfsdfs-lsr递归查看文件目录信息hdfsdfs-statpath返回指定路径的信息第二类：空间大小查看系列命令：hdfsdfs-du-hdir按照适合阅读的形式人性化显示文件大小hdfsdfs-dusuri递归显示目标

    全栈程序员-站长的头像 全栈程序员-站长
    2022年10月5日
    0
  • 用python生成随机数的几种方法「建议收藏」

    用python生成随机数的几种方法「建议收藏」

    用python生成随机数的几种方法「建议收藏」今天学习了用python生成仿真数据的一些基本方法和技巧，写成博客和大家分享一下。本篇博客主要讲解如何从给定参数的的正态分布/均匀分布中生成随机数以及如何以给定概率从数字列表抽取某数字或从区间列表的某一区间内生成随机数，按照内容将博客分为3部分，并附上代码。1从给定参数的正态分布中生成随机数当考虑从正态分布中生成随机数时，应当首先知道正态分布的均值和方差（标准差），有了这些，…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年10月5日
    0
  • ASP.NET MVC 模式的优缺点「建议收藏」

    ASP.NET MVC 模式的优缺点「建议收藏」

    ASP.NET MVC 模式的优缺点「建议收藏」http://www.enet.com.cn/eschool/video/c_peng/看别人的视频开始学习第一课。

    全栈程序员-站长的头像 全栈程序员-站长
    2022年7月22日
    11
  • 如何制作SWD接口接线，并使用keil4_Jlink烧录芯片

    如何制作SWD接口接线，并使用keil4_Jlink烧录芯片

    如何制作SWD接口接线，并使用keil4_Jlink烧录芯片如何制作SWD接口接线，并使用keil4_Jlink烧录芯片。背景过程背景刚到一个新公司的第一个礼拜。通过web界面更新app总是导致bios失效。又因为是接手一个离职人的项目，调试线已经找不到，所以需要自己做一个。由于自己是个菜鸡，所以做出来的东西也是比较难看，由此记录一下，希望下次能做的美观一点。过程现在说一个我做上面一个东西需要查找那些东西。首先知道SWD需要Jlink的脚是GND（地线）、TMS（数据线）、TCK（时钟线）、NSRST（重启线）。所以得得将jlink这几个角引出来。这

    全栈程序员-站长的头像 全栈程序员-站长
    2022年4月25日
    60
  • 树的先序遍历对应二叉树的_先序遍历输入一个二叉树

    树的先序遍历对应二叉树的_先序遍历输入一个二叉树

    树的先序遍历对应二叉树的_先序遍历输入一个二叉树笔试特别喜欢考这种题。先说一下思路。首先，需要明白前序、中序、后序遍历：①前序：根→左→右②中序：左→根→右③后序：左→右→根仅明白这个是不行的，还需要技巧。对于标题中的问题，我们很容易判断根节点是A，A的右节点是B，A的左边有CDFEGH,如下图：然后，将问题进行分解。去掉了AB结点之后，问题可分解如下：按照同样的套路,我们可以画出子问题的数大大概结构，如下图：与第一步画…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年9月3日
    3
  • laravel-admin列表排序在使用了$grid->model()->latest()后$grid其它加上sortable()可排序的列在排序时不起作用…

    laravel-admin列表排序在使用了$grid->model()->latest()后$grid其它加上sortable()可排序的列在排序时不起作用…

    laravel-admin列表排序在使用了$grid->model()->latest()后$grid其它加上sortable()可排序的列在排序时不起作用…

    全栈程序员-站长的头像 全栈程序员-站长
    2021年10月29日
    43

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号