由于Redis后门漏洞导致服务器被注入挖矿脚本解决过程

全栈程序员-站长 • 2022年7月14日上午6:16 • 未分类 • 阅读 14

由于Redis后门漏洞导致服务器被注入挖矿脚本解决过程由于Redis后门漏洞导致服务器被注入挖矿脚本解决过程事件描述某一天的早晨，我还是像往常一样搭着公交车开启打工仔的一天，一早8.30就到办公室了，坐着玩手机等上班，就这这时突然我组长飞快的回来办公室，回来就说快看看阿里云后台服务，服务是不是挂掉了，我当时就纳闷了一大早的流量不大怎么就宕机了呢，不一会我组长收到了阿里云短信通知监测到恶意脚本，接下来就是脚本的查找前期处理首先是通过阿里云的控制台发现，查看到恶意的进程PID，通过ps-ef|greap5724的确看到了当前进程，前期处理我只

大家好，又见面了，我是你们的朋友全栈君。

由于Redis后门漏洞导致服务器被注入挖矿脚本解决过程

事件描述

某一天的早晨，我还是像往常一样搭着公交车开启打工仔的一天，一早8.30就到办公室了，坐着玩手机等上班，就这这时突然我组长飞快的回来办公室，回来就说快看看阿里云后台服务，服务是不是挂掉了，我当时就纳闷了一大早的流量不大怎么就宕机了呢，不一会我组长收到了阿里云短信通知监测到恶意脚本，接下来就是脚本的查找

前期处理

首先是通过阿里云的控制台发现，查看到恶意的进程PID，通过ps -ef | greap 5724的确看到了当前进程，前期处理我只是通过了kill -9 5724将进程kill了，并且把后台服务也启动了看似风平浪静，更加恐怖再后头

在这里插入图片描述

问题再现

但是好景不长过了30分钟作用开始有一个服务又突然宕机，接下来nginx也宕机了，我尝试启动服务，服务器启动失败，我通过top发现我们服务器的CPU与内存居然满载了，估计是由于内存满载的原因导致我宕机服务无法重启

问题排除

再次发送以上的问题后，我开始对问题进行排除，我回想刚刚我明明把进程kill了，怎么还出现这个问题，难道是定时任务我使用crontab -l查看了当前liunx中的定时任务，突然发现一个奇怪30秒执行一次的脚本任务，肯定就是它了，我很庆幸居然那么快找出问题所在

在这里插入图片描述

清除定时任务

尝试修改定时任务内容

首先我使用了 crontab -e尝试修改定时任务，修改完毕后:wq!保存居然弹出不允许操作

在这里插入图片描述
尝试清除所有定时任务

改不了内容那我不改了，我直接crontab -r删除所有定时任务，居然还不行

在这里插入图片描述

文件权限查询

好吧看来文件被做了手脚无法修改了，然后我顺着不允许操作的文件cd /var/spool/cron/目录下并且查看了root这个文件的权限，好像没毛病啊root可读+可写

在这里插入图片描述
文件属性查询

经过多次问题的查找，最后发现文件属性被修改了通过lsattr root查看到当前文件属性为a 不得任意更动文件或目录;i 让文件或目录仅供附加用途，接下来的过程会涉及到2个比较默生的命令lsattr(查看文件属性)与chattr(更改文件属性)

在这里插入图片描述
lsattr与chattr指令文档

接下来说明大部分会使用到这个指令，如果不清楚的小伙伴可以阅读一下这个指令的基本使用与说明

lsattr：文档点这里
 chattr：文档点这里
修改文件属性

最后通过chattr -ia root指令将来root文件的属性去掉，真可恶居然把chattr权限去掉了，但是这难不倒我

在这里插入图片描述

cd /usr/bin/进入到bin目录找到chattr指令果然，权限都被去除了，我们给它加上可执行权限即可

在这里插入图片描述

最后回到定时任务页面尝试将来root文件的属性去除，去除成功并且成功的清空了定时任务

在这里插入图片描述

清除脚本文件

定时任务已处理了，还有一个脚本文件newinit.sh再etc目录下，这个简单cd .etc使用rm newinit.sh即可，居然不允许删除，估计还是老套路，继续使用lsattr查看文件属性，果然最后去除文件属性，成功rm了这个脚本文件

在这里插入图片描述

总结

最后经过百度发现newinit.sh是一种挖矿脚本，是通过6379端口接入走后门被注入进来的，说到6379大家肯定很熟悉，没错这个就是Redis的默认端口，庆幸的是还好这个木马不是很深入，如果入侵的黑客是大神直接把木马深入到内核那这得重装系统了，经过这个事件以后我奉劝大家2个事情

Redis不要使用默认端口设置一个其它端口
Redis一定要设置密码，并且密码不要过于简单

最后如果对Redis配置文件不熟悉可以点击阅读Redis.conf文件详解

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/159200.html原文链接：https://javaforall.net

赞 (0)

全栈程序员-站长

0 0

数据库锁机制[通俗易懂]

数据库锁机制[通俗易懂]1 前言数据库大并发操作要考虑死锁和锁的性能问题。看到网上大多语焉不详(尤其更新锁），所以这里做个简明解释，为下面描述方便，这里用T1代表一个数据库执行请求，T2代表另一个请求，也可以理解为T1为一个线程，T2为另一个线程。T3,T4以此类推。下面以SQLServer(2005)为例。2 锁的种类共享锁(Sharedlock)。例1：——–

全栈程序员-站长
2022年6月29日
30
Vue（9）购物车练习

Vue（9）购物车练习购物车案例经过一系列的学习，我们这里来练习一个购物车的案例**需求：**使用vue写一个表单页面，页面上有购买的数量，点击按钮+或者-，可以增加或减少购物车的数量，数量最少不得少于0，点击移除按钮

全栈程序员-站长
2022年7月31日
4
全栈程序员社区-公众号

【12】进大厂必须掌握的面试题-持续测试面试

点击上方“全栈程序员社区”，星标公众号重磅干货，第一时间送达 Q1。什么是连续测试？我将建议您遵循以下提到的解释：连续测试是作为软件交付管道的一部分执行自动测试的过程，以获得与…

全栈程序员-站长
2021年6月23日
79
汇编介绍

汇编介绍汇编大多是指汇编语言，汇编程序。把汇编语言翻译成机器语言的过程称为汇编。在汇编语言中，用助记符(Memoni)代替操作码，用地址符号(Symbol)或标号(Label)代替地址码。这样用符号代替机器语言的二进制码，就把机器语言变成了汇编语言。于是汇编语言亦称为符号语言。用汇编语言编写的程序，机器不能直接识别，要由一种程序将汇编语言翻译成机器语言，这种起翻译作用的程序叫汇编程序…

全栈程序员-站长
2022年10月13日
0
Android 屏幕旋转处理 AsyncTask 和 ProgressDialog 的最佳方案

Android 屏幕旋转处理 AsyncTask 和 ProgressDialog 的最佳方案转载请表明出处：http://blog.csdn.net/lmj623565791/article/details/379362751、概述众所周知，Activity在不明确指定屏幕方向和configChanges时，当用户旋转屏幕会重新启动。当然了，应对这种情况，Android给出了几种方案：a、如果是少量数据，可以通过onSaveInstanceState()和onRestoreI

全栈程序员-站长
2022年7月14日
14
【C语言】输入两个正整数m和n，求其最大公约数和最小公倍数。（要求用while语句实现）[通俗易懂]

【C语言】输入两个正整数m和n，求其最大公约数和最小公倍数。（要求用while语句实现）[通俗易懂]输入两个正整数m和n，求其最大公约数和最小公倍数。（要求用while语句实现）一、最大公约数求法（1）辗转相除法（2）相减法二、求最小公倍数算法一、最大公约数求法（1）辗转相除法设有两整数a和b：①a%b得余数c②若c==0，则b即为两数的最大公约数③若c！=0，则a=b，b=c，再回去执行①。例如求27和15的最大公约数过程为：27÷15余1215÷12余312÷3余0因此，3即为最大公约数。（2）相减法设有两整数a和b：①若a>b，则a=a-b②.

全栈程序员-站长
2022年5月16日
48

发表回复

关注全栈程序员社区公众号