Linux被kdevtmpfsi挖矿病毒入侵 一....错误信息 二.解决问题 1.首先停掉kdevtmpfsi的程序 2.删除Linux下的异常定时任务 3.结束kdevtmpfsi进程及端口占用 4.删除掉kdevtmpfsi的相关文件 三.怎么预防处理这个病毒...1.首先停掉kdevtmpfsi的程序 ps aux 找到kdevtmpfsi的进程 删除掉与kdevtmpfsi相关的进程 kill -9 20267 kill -9 20367 2.删除Linux...tmp/kinsing 最后自己可以再检查一下是否还有kdevtmpfsi的相关文件，有的话就继续删除 find / -name kdevtmpfsi find / -name kinsing 三.怎么预防处理这个病毒
检查系统的异常文件 查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以.为名的文件夹具有隐藏属性 > ls -al 查找1天以内被访问过的文件 > find /opt -iname "*"...-atime 1 -type f -iname不区分大小写,-atime最近一次被访问的时间,-type文件类型 检查历史命令 查看被入侵后,在系统上执行过哪些命令,使用root用户登录系统，检查/home...检查系统日志 在Linux上一般跟系统相关的日志默认都会放到/var/log下面，若是一旦出现问题，用户就可以通过查看日志来迅速定位，及时解决问题。
入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。...在做入侵排查的时候，用户配置文件/etc/passwd和密码配置文件/etc/shadow是需要去重点关注的地方。...> netstat -tunlp | less 抓包分析 > tcpdump -c 10 -q //精简模式显示 10个包 使用ps命令检查可疑的进程 > ps -ef 查超系统中占用资源最高的资源 >...strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量: > lsof -p $PID #列出该进程所打开的所有文件 检查系统服务 Linux...> cat /etc/rc.local 检查计划任务 利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。
如果相同说明这个工具是可信任的，如果不相同很有可能是被替换的。 另外，一般工具可执行文件大小都在几十K到几百K。 但我没有选择用md5方式来判断工具是否可信任，因为完全相同版本的操作系统并不好找。...这里就更奇怪了，怎么会有我执行的命令呢？ ps –ef，命令的路径不是/bin/ps，引起了我的怀疑，马上进入此目录下查看。 擦，还有几个，初步判断是工具被替换了。...如果是XSS攻击，应用层漏洞入侵怎么办？ 针对这些问题，从我们公司角度来说，尽量不重装系统，业务太复杂。找出入侵点，跑的程序多，攻击面多，很棘手。 就先这样吧！兵来将挡，水来土掩。...~ 被黑客趁机入侵的原因： 1. 运维对网络安全实施落实力度低 2. 没有相关安全测试人员，不能及时发现应用层漏洞 等等......针对这次攻击，总结了下防护思路： 1. linux系统安装后，启用防火墙，只允许信任源访问指定服务，删除不必要的用户，关闭不必要的服务等。 2.
md5sum 校验执行文件判断，先找个同版本操作系统，获取到这个工具执行文件的 md5 值，再获取可疑的工具执行文件 md5 值，比较两个值是否相同，如果相同说明这个工具是可信任的，如果不相同很有可能是被替换的...紧接着怎么会有我执行的命令呢，ps –ef ，命令的路径不是 /bin/ps，引起了我的怀疑，马上进入此目录下查看。 ? 擦，还有几个，初步判断是工具被替换了。...删除后会自动生成 /usr/bin/bsd-port #判断是自动生成 java.log 或着后门程序 /usr/sbin/.sshd #判断是后门程序 小心，直接执行 java.log 可能会导致 Linux...如果还有其他木马程序怎么办？ 如果是 XSS 攻击，应用层漏洞入侵怎么办？ 针对这些问题，从我们公司角度来说，尽量不重装系统，业务太复杂。找出入侵点，跑的程序多，攻击面多，很棘手。先这样吧！...让黑客趁机入侵的原因： 运维对网络安全实施落实力度低 没有相关安全测试人员，不能及时发现应用层漏洞 等等… 针对这次攻击，总结了下防护思路： Linux 系统安装后，启用防火墙，只允许信任源访问指定服务
入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。...> netstat -tunlp | less 抓包分析 > tcpdump -c 10 -q //精简模式显示 10个包 使用ps命令检查可疑的进程 > ps -ef 查超系统中占用资源最高的资源 >...strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量: > lsof -p $PID #列出该进程所打开的所有文件 检查系统服务 Linux...cat /etc/rc.local 检查计划任务 利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。...cron.monthly/* /etc/cron.weekly/ /etc/anacrontab /var/spool/anacron/* 原文链接:https://rumenz.com/rumenbiji/linux-hacking
入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。...在做入侵排查的时候，用户配置文件/etc/passwd和密码配置文件/etc/shadow是需要去重点关注的地方。...> netstat -tunlp | less 抓包分析 > tcpdump -c 10 -q //精简模式显示 10个包 使用ps命令检查可疑的进程 > ps -ef 查超系统中占用资源最高的资源 >...strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量: > lsof -p $PID #列出该进程所打开的所有文件 检查系统服务 Linux...cat /etc/rc.local 检查计划任务 利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。
一、检查系统日志 lastb //检查系统错误登陆日志，统计IP重试次数 二、检查系统用户 1、cat /etc/passwd //查看是否有异常的系统用户 2...
检查系统的异常文件 查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以.为名的文件夹具有隐藏属性 > ls -al 查找1天以内被访问过的文件 > find /opt -iname "*" -...atime 1 -type f -iname不区分大小写,-atime最近一次被访问的时间,-type文件类型 检查历史命令 查看被入侵后,在系统上执行过哪些命令,使用root用户登录系统，检查/home...检查系统日志 在Linux上一般跟系统相关的日志默认都会放到/var/log下面，若是一旦出现问题，用户就可以通过查看日志来迅速定位，及时解决问题。...> gerp "Accepted" /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 原文链接:https://rumenz.com/rumenbiji/linux-hacking
来源：计算机与网络安全 ID：Computer-network 随着开源产品的越来越盛行，作为一个Linux运维工程师，能够清晰地鉴别异常机器是否已经被入侵了显得至关重要，个人结合自己的工作经历，整理了几种常见的机器被黑情况供参考...背景信息：以下情况是在CentOS 6.9的系统中查看的，其它Linux发行版类似。 1.入侵者可能会删除机器的日志信息，可以查看日志信息是否还存在或者是否被清空，相关命令示例： ?...2.入侵者可能创建一个新的存放用户名及密码文件，可以查看/etc/passwd及/etc/shadow文件，相关命令示例： ?...11.如果确认机器已经被入侵，重要文件已经被删除，可以尝试找回被删除的文件。 1>当进程打开了某个文件时，只要该进程保持打开该文件，即使将其删除，它依然存在于磁盘中。...3>当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。
核实机器被入侵后，应当尽快将机器保护起来，避免被二次入侵或者当成跳板扩大攻击面。...九、处理中的遇到的比较棘手的事情 1.日志和操作记录全被删了怎么办? strace 查看 losf 进程，再尝试恢复一下日志记录，不行的话镜像硬盘数据慢慢查。...3.使用常见的入侵检测命令未发现异常进程，但是机器在对外发包，这是怎么回事？...4.被getshell怎么办？ 1、漏洞修复前，系统立即下线，用内网环境访问。 2、上传点放到内网访问，不允许外网有类似的上传点，有上传点，而且没有校验文件类型很容易上传webshell。...彩蛋：笔者已将Linux与Windows的安全应急响应流程工具化，稍后会开源到github。
记录一次查询清除木马过程 木马名称： Linux.BackDoor.Gates.5 链接：https://forum.antichat.ru/threads/413337/ 前两天服务器被扫描后...查，/etc/rc.local 1 2 ? 进程杀了又起来，文件删了又自动生成，无奈之下只好想了一个怪招，把/bin/bash重命名一下 再查询基础命令是否被掉包： ?...那就删掉被更改的，从其他同配置服务器拷贝一份。 记的拷贝过来要给予755 权限。 1 ?...注意rm命令也被掉包了，需要更换！...加强自身安全 但是此时还不知道系统入侵的原因，只能从两个方面考虑：暴力破解和系统及服务漏洞 a、yum update 更新系统（特别是bash、openssh和openssl） b、关闭一些不必要的服务
一次Linux被入侵后的分析 下面通过一个案例介绍下当一个服务器被rootkit入侵后的处理思路和处理过程，rootkit攻击是Linux系统下最常见的攻击手段和攻击方式。...为了证明系统是否被植入了rootkit，我们将网站服务器下的ps、top等命令与一个同版本可信操作系统下的命令做了md5sum校验，结果发现网站服务器下的这两个命令确实被修改过，由此断定，此服务器已经被入侵并且安装了...但是系统命令已经被替换掉了，如果继续在该系统上执行操作将变得不可信，这里可以通过两种方法来避免这种情况，第一种方法是将此服务器的硬盘取下来挂载到另外一台安全的主机上进行分析，另一种方式就是从一个同版本可信操作系统下拷贝所有命令到这个入侵服务器下某个路径...，并且被修改为可远程登录，之所以使用mail帐号，猜想可能是因为入侵者想留下一个隐蔽的帐号，以方便日后再次登录系统。...（4） 使用Linux下的Tcp_Wrappers防火墙，限制ssh登录的源地址。 原文地址：http://www.server110.com/linux_sec/201407/10731.html
朋友处理了一会没有解决，我开始想说我不是搞安全的，我怎么会，但朋友开出了天价，一顿海底捞，我在生活和现实面前低头了，开始上手看看了。...二、服务器排查和处理 2.1、服务器被入侵的可能原因 服务器 ssh 密码，设置得很简单。 腾讯云安全组范围放得很大。 使用了宝塔，宝塔面板的密码也是很简单的密码（应该不是这个入侵入口）。...部分截图 三、本次入侵需要带来启示的点 1.ps 、top 、chattr 、lsattr 在这些命令被替换了，并且我们想还原又还原不了的场景，我们可以拷贝同版本的机器相同的命令放在其它目录，用这些命令来解除入侵者将它已经替换并锁定了文件...四、本次服务器被入侵的一些启示 用好云厂家的安全组。对一些关键端口，放行规则尽量最小/ 服务器相关的一些密码尽量增加复杂性。 增加对一些关键文件的监控....(通过监控软件监控 md5值) 服务器入侵之后，我们需要怎么处理才是最好的。 服务器如果有开放 SSH 远程登录，可以设置限制登录(安全组、或者服务)，只放行自己的IP.
我们来搭建一下网站漏洞测试的环境,使用linux centos系统,PHP5.5版本,数据库是mysql,使用apache环境来搭建,使用的Laravel版本为5.6.28.首先我们去官方下载该版本,并解压到
Linux入侵经历 被入侵的一次经历 今天给大家说说一次被入侵的经历，仅供大家参考。 事件起因 2017年9月7日下午测试带宽，登录到服务器。在/tmp目录下发现可疑执行文件SPR。...果然有该进程，基本可以判断该系统已经被入侵了。 根据操作记录发现，入侵者从某个IP地址（江苏镇江电信）下载了可疑程序SPR。修改了其为可执行。然后把该程序放到了/root目录及/tmp目录。...检查系统文件是否被替换 使用如下命令来检测系统文件是否被替换： [root@server log]# rpm -Va Unsatisfied dependencies for ghostscript-fonts...还有一个问题就是，系统的ps命令如果被替换了，我们有可能就查看不出可疑进程了。 检查有无可疑的定时任务 定时任务一般不会做什么手脚。最有可能的是修改了系统的启动脚本。...事后总结 本次系统被入侵，主要是由于系统密码过于简单所致。密码简单到。。。，哎，你懂得。 设置复杂的密码，使用工具生成随机的密码，且密码长度大于20位。
今天来给大家分享下这两天遇到的一个问题，服务器被挖矿了，把我的排查记录分享下，希望能帮到有需要的同学。...问题原因 ---- 多台服务器持续告警CPU过高，服务器为K8s的应用节点，正常情况下CPU使用率都挺低的，通过排查是原因是被挖矿了，下面为定位过程 定位过程 ---- 登陆问题主机10.92.0.X，...cpu使用率基本跑满（用户态），没有发现可疑的进程，初步怀疑可能是进程在哪里隐藏了 执行命令ps -aux --sort=-pcpu|head -10 嗯哼，藏得够深的，可还是被揪出来啦 ? ?...:999/version.txt",并下载 写入到本地隐藏文件/tmp/.x,然后执行 注意：这个执行文件会修改服务器的一些配置，如dns，hosts，定时任务，创建可执行文件 查看dns 果然dns被修改了...查看定时任务 一般情况使用crontab -l是看不到的，需要查看/etc/crontab， 发现定时任务被加入了一条 0 /8 * * root /usr/lib/libiacpkmn.so.3 ?
一、检查系统日志 lastb命令 检查系统错误登陆日志，统计IP重试次数 二、检查系统用户 1、cat /etc/passwd 查看是否有异常的系统用户 2、g...
二、入侵分析 本次捕获案例的入侵流程与以往相比，没有特殊的地方，也是利用通用漏洞入侵服务器并获得相关权限，从而植入挖矿程序再进行隐藏。...在服务器被入侵后，首先可以明显感觉到服务器的资源被占用而导致的操作迟缓等问题，通过一些常规手段可以发现一些异常信息，但又看不到进程信息： ?...在变更文件里可以看到一些挖矿程序，同时 /etc/ld.so.preload 文件的变更需要引起注意，这里涉及到 Linux 动态链接库预加载机制，是一种常用的进程隐藏方法，而 top 等命令都是受这个机制影响的...——段落引自《警惕利用 Linux 预加载型恶意动态链接库的后门》 通过查看文件内容，可以看到加载一个 .so 文件：/usr/local/lib/libjdk.so ?...继续分析变更的文件，还能看到相关文件也被变更，比如黑客通过修改 /etc/rc.d/init.d/network 文件来进行启动： ? 同时修改 /etc/resolv.conf ： ?
如何判断自己的服务器是否被入侵了呢？仅仅靠两只手是不够的，但两只手也能起到一些作用，我们先来看看UNIX系统上一些入侵检测方法，以LINUX和solaris为例。...但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，国家查询的结果是否正常来判断文件是否完整。...LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件，检查该文件的完整性，可以直接cat /etc/crontab，仔细阅读该文件有没有被入侵者利用来做其他的事情。...通常通过检查/etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序；这个方法怎么有点象查windows下的trojan？...另外，对这个内核进行加固模块时应尽早进行，以防系统调用已经被入侵者替换。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
