攻击者通过Redis未授权访问,写入定时任务,执行挖矿程序。...tmp/conn /tmp/conn: PNG image data, 256 x 256, 8-bit/color RGBA, non-interlaced 首先下载了一个图片,然后通过dd提取出来挖矿程序...[root@server120 tmp]# file /tmp/conns /tmp/conns: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux...), statically linked, stripped 然后每20S检查一下进程是否存活。...这种通过Redis未授权拿服务器挖矿的情况很常见。 处理过程 1)redis增加认证,清空/var/spool/cron/root和authorized_keys。
今天来给大家分享下这两天遇到的一个问题,服务器被挖矿了,把我的排查记录分享下,希望能帮到有需要的同学。...问题原因 ---- 多台服务器持续告警CPU过高,服务器为K8s的应用节点,正常情况下CPU使用率都挺低的,通过排查是原因是被挖矿了,下面为定位过程 定位过程 ---- 登陆问题主机10.92.0.X,...cpu使用率基本跑满(用户态),没有发现可疑的进程,初步怀疑可能是进程在哪里隐藏了 执行命令ps -aux --sort=-pcpu|head -10 嗯哼,藏得够深的,可还是被揪出来啦 ? ?...阻断挖矿程序链接外网服务(很重要) 在/etc/hosts里增加一条 127.0.0.1 g.upxmr.com 阻断挖矿程序链接外网下载可执行文件,不加了的话干掉服务又会起来(除非把服务器网断了) 2...干掉可疑程序“ata”进程 [root@dtdream-common-prod-nginx-03 ~]# kill -9 70497 再次查看发现cpu使用率降下来了,挖矿程序也没启动了。 ? ?
S 13:02 0:00 \_ /usr/sbin/httpd 我们查看httpd 服务器的进程;您也可以用pgrep -l httpd 来查看; 我们看上面例子中的第二列,就是进程PID的列,其中4830...是httpd服务器的父进程,从4833-4840的进程都是它4830的子进程;如果我们杀掉父进程4830的话,其下的子进程也会跟着死掉; [root@localhost ~]# kill 4840 注:...是不是httpd服务器仍在运行?...[root@localhost ~]# kill 4830 注:杀掉httpd的父进程; [root@localhost ~]# ps -aux |grep httpd 注:查看httpd的其它子进程是否存在...,httpd服务器是否仍在运行?
本文作者:Fooying、zhenyiguo、murphyzhang 一、背景 云鼎实验室曾分析不少入侵挖矿案例,研究发现入侵挖矿行为都比较粗暴简单,通过 top 等命令可以直接看到恶意进程,挖矿进程不会被刻意隐藏...二、入侵分析 本次捕获案例的入侵流程与以往相比,没有特殊的地方,也是利用通用漏洞入侵服务器并获得相关权限,从而植入挖矿程序再进行隐藏。...,首先可以明显感觉到服务器的资源被占用而导致的操作迟缓等问题,通过一些常规手段可以发现一些异常信息,但又看不到进程信息: ?...在变更文件里可以看到一些挖矿程序,同时 /etc/ld.so.preload 文件的变更需要引起注意,这里涉及到 Linux 动态链接库预加载机制,是一种常用的进程隐藏方法,而 top 等命令都是受这个机制影响的...云鼎实验室主要关注腾讯云安全体系建设,专注于云上网络环境的攻防研究和安全运营,以及基于机器学习等前沿技术理念打造云安全产品。
WGCLOUD是一款优秀的服务器运维监测软件,可以说是运维人员的必备工具,它部署操作简单方便,性能优秀,不占资源,稳定安全场景一:有时候我们的服务器容易被植入挖矿病毒软件,工程师很难及时发现和处理,这里...WGCLOUD就可以大展身手了WGCLOUD就可以解决这个问题,它可以监测服务器上的异常运行进程,其中就包括挖矿软件,如果发现某个进程持续占用cpu或内存资源,就会提示,并可以在页面手动结束这些木马进程如下图
症状表现 服务器CPU资源使用一直处于100%的状态,通过 top 命令查看,发现可疑进程 kdevtmpfsi。通过 google搜索,发现这是挖矿病毒。 ?...PS:通过 ps -ef 命令查出 kdevtmpfsi 进程号,直接 kill -9 进程号并删除 /tmp/kdevtmpfsi 执行文件。...第三步:kill 掉 kdevtmpfsi 守护进程 kill -9 30903 30904,再 killall -9 kdevtmpfsi 挖矿病毒,最后删除 kdevtmpfsi 执行程序 rm -...事后检查 通过 find / -name "*kdevtmpfsi*" 命令搜索是否还有 kdevtmpfsi 文件 查看 Linux ssh 登陆审计日志。...云主机:完善安全策略,入口流量,一般只开放 80 443 端口就行,出口流量默认可以不限制,如果有需要根据需求来限制。物理机:可以通过硬件防火墙或者机器上iptables 来开放出入口流量规则。
前言 在网上可以搜索到 2 种在腾讯云服务器上安装kali系统的方法: 第一种方法: 通过挂载云硬盘到云服务器上,将kali镜像刻录到挂载的云硬盘中,利用VNC可视化安装kali系统;查看详情 第二种方法...0x01 安装前准备一个 kali linux 镜像:点击下载 一个腾讯云服务器:点击访问 一个 virtualbox 虚拟机软件:点击下载 0x02 安装 virtualbox 软件 双击运行 virtualbox...在virtualbox安装kali虚拟机 首先确定腾讯云的镜像格式要求如下 本文接下来所要演示的镜像格式为:RAW 格式 打开virtualbox,新建虚拟电脑,按要求填写,点击下一步 虚拟机内存大小根据你的云服务器的内存大小而定...系统 不出意外的话就可以看到kali的界面了 到此为止,kali成功部署到腾讯云服务器上了。...而云服务器的硬盘一般都是有50G的大小,安装完kali系统只用了10G,我们需要将剩余近40G空间全分配给kali。 1.
文章目录 中毒特征磁盘cpu 跑满 100% 如何处理 反复发作 中毒特征磁盘cpu 跑满 100% 如何处理 电脑中了挖矿病毒 ps -aux | grep kinsing root 19447
记一次挖矿程序入侵以及解决实操! 1,过程记录 系统被挖矿程序入侵,导致系统CPU飙升。kill掉进程后自动重启。...无论kill -9还是直接把系统中nanoWatch所对应的进程文件删除,一样会定时重启。...(之前安装redis都是在局域网中,现在使用云服务器把密码设置给忘了。。。)...2,解决思路 1,crontab -e查看系统定时任务是否有恶意下载链接 2. top命令查看当前耗CPU进程,找到该进程文件所在位置 。...配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379. 2. 配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中. 3.
Linux清理挖矿程序@bug Linux清理挖矿程序 最近服务器经常被挖矿,一些经验 1....找到挖矿程序 挖矿程序跑起来几乎占满了所有的CPU,以及GPU,用watch -n1 nvidia-smi可以实时看到挖矿程序的PID号,此时不能用kill -9 PID号来进行清除,会发现它换一个PID...使用top可以看到挖矿程序进程名字xxx(command一行),ps aux|grep xxx 或者ls -l /proc/{PID号}/exe 找到病毒程序的路径位置 2.
前言 本章将会讲解Linux云计算中的进程和任务管理 本章架构 一.程序和进程的关系 ①程序 保存在硬盘、光盘等介质中的可执行代码和数据 静态保存的代码 ②进程 在 CPU 及内存中运行的程序代码...动态执行的代码 父、子进程 每个进程可以创建一个或多个进程 二.查看进程信息 1.ps:查看静态的进程统计信息 [root@localhost ~]# ps -elf 2.top:查看动态的进程排名信息...1>Ctrl+Z 组合键:将当前进程挂起,即调入后台并停止执行 2>jobs 命令:查看处于后台的任务列表 3>fg 命令:将后台进程恢复到前台运行,可指定任务序号 2.终止进程的运行 (1)kill...、killall 命令 1>kill用于终止指定PID号的进程 2>killall用于终止指定名称的所有进程 3>-9 选项用于强制终止 (2)pkill命令:根据特定条件终止相应的进程 (-U:根据进程所属的用户名终止相应进程...(ps、top、pgrep、pstree) 进程控制 启动进程 调度进程(Ctrl+Z组合键、jobs、bg、fg) 终止进程(kill、killall、pkill) at命令设置计划任务 crontab
top命令查看自己服务器CPU运行情况,会发现kdevtmpfsi的进程,CPU使用率为100%。 1.png 2. 此病毒一般会又定时任务脚本。...查找kdevtmpfsi进程与守护进程kinsing。 ps -aux | grep kinsing ps -aux | grep kdevtmpfsi 2.png 4....杀掉进程删除相应的文件 kill -9 17995 10031 rm -rf /tmp/kdevtmpfsi /var/tmp/kinsing 3.png 5.使用find / -name kdevtmpfsi
二、查杀方法 1、断网,停止定时任务服务; 2、查杀病毒主程序,以及保护病毒的其他进程; 3、恢复被劫持的动态链接库和开机服务; 4、重启服务器和服务; 附查杀脚本(根据情况修改) (脚本参考(https...://blog.csdn.net/u010457406/article/details/89328869)) 查杀完成以后重启服务器,发现过段时间,登陆主机,无论本地还是ssh远程登陆,依然会有病毒进程被拉起...删除并次查杀病毒(重复之前查杀步骤),重启服务器,观察一段时间后不再有病毒程序被拉起,至此病毒被查杀完全。...2、病毒主要模块 主恶意程序:kerberods 恶意Hook库:libcryptod.so libcryptod.c 挖矿程序:khugepageds 恶意脚本文件:netdns (用作kerberods.../lib/libcryptod.so 5> 预加载动态链接库,恶意hook关键系统操作函数 6> 修改/etc/cron.d/root文件,增加定时任务 7> 拉起khugepageds挖矿进程 四、安全防护
I/O size (minimum/optimal): 512 bytes / 512 bytes 执行命令:fdisk /dev/vdb 依次按 "n"、"p"、"3次回车"、"wq"即可 格式化云盘
很多客户网站服务器被入侵,被攻击,找到我们SINE安全公司寻求技术支持与帮助,有些网站被篡改,被跳转,首页内容被替换,服务器植入木马后门,服务器卡顿,服务器异常网络连接,有的客户使用的是阿里云服务器,经常被提醒服务器有挖矿程序...,以及网站被上传webshell的安全提醒,包括腾讯云提示服务器有木马文件,客户网站被攻击的第一时间,是需要立即处理的,降损失降到最低,让网站恢复正常的访问,由于每个客户找到我们SINE安全都是比较着急的...首先我们会对当前服务器的IP,以及IP的地址,linux服务器名称,服务器的版本是centos,还是redhat,服务器的当前时间,进行收集并记录到一个txt文档里,接下来再执行下一步,对当前服务器的异常网络连接以及异常的系统进程检查...并对连接的IP,进行归属地查询,如果是国外的IP,直接记录当前进程的PID值,并自动将PID的所有信息记录,查询PID所在的linux文件地址,紧接着检查当前占用CPU大于百分之30的进程,并检查该进程所在的文件夹...对服务器的启动项进行检查,有些服务器被植入木马后门,即使重启服务器也还是被攻击,木马会自动的启动,检查linux的init.d的文件夹里是否有多余的启动文件,也可以检查时间,来判断启动项是否有问题。
Linux 服务器正常启动后,提供服务时会调用程序,占用进程。这时候我们如何查看系统中有哪些进程在被调用呢?我们可以通过以下命令来查看。...SMar16 0:06 nginx: worker process 二、top 命令 top 命令可动态显示服务器的进程信息。top 命令和 ps 命令的基本作用是相同的,都显示系统当前进程的状况。...kill 命令的工作原理是,向 Linux 系统的内核发送一个系统操作信号和某个程序的进程标志号,然后系统内核就可以对进程标志号指定的进程进行操作了。...另外,大家有兴趣也可以了解一下 pkill 的用法,在服务器里用它来“踢人”还是很方便的,这个命令在工作中我们用得不多,大家稍微了解一下即可。...在 Linux 下,最强大的进程管理命令莫过于 ps 和 top 了,我们应该掌握它们的详细语法,在工作中灵活地使用它们。 注:以上内容整理自《构建高可用的 Linux 服务器》一书。
阿里云ECS服务器是目前很多网站客户在使用的,可以使用不同系统在服务器中,windows2008 windows2012,linux系统都可以在阿里云服务器中使用,前段时间我们SINE安全收到客户的安全求助...,说是收到阿里云的短信提醒,提醒服务器存在挖矿进程,请立即处理的安全告警。...,我们TOP查看进程,追踪查看那些进程在占用CPU,通过检查发现,有个进程一直在占用,从上面检查出来的问题,可以判断客户的服务器被植入了挖矿程序,服务器被黑,导致阿里云安全警告有挖矿进程。...原来是客户的服务器中了挖矿木马,我们来看下top进程的截图: ?...我们对占用进程的ID,进行查找,发现该文件是在linux系统的tmp目录下,我们对该文件进行了强制删除,并使用强制删除进程的命令对该进程进行了删除,CPU瞬间降到百分之10,挖矿的根源就在这里,那么黑客是如何攻击服务器
mmbizwap/zh_CN/htmledition/style/page/appmsg_new/winwx45ba31.css"; head.appendChild(link); } })(); 云鼎实验室
如果对前面Linux进程不太熟悉可以先阅读: Linux进程 本篇主要内容: 僵尸进程和孤儿进程 Linux进程优先级 1. 僵尸进程 僵尸进程就是处于僵尸状态下的进程!...所以,只要子进程退出,父进程还在运行,但父进程没有读取子进程状态,子进程进入Z状态 僵尸状态就是Linux状态中的X死亡状态!...配置进程优先权对多任务环境的linux很有用,可以改善系统性能。...NI :NICE值,表示优先级的修改数据 NICE其取值范围是-20至19,一共40个级别 Linux进程的优先级数值范围:60~99 Linux中默认进程的优先级都是:80 Linux是支持动态优先级调整的...总结 本篇文章前部分紧贴上篇Linux进程,分析完了Linux下常见的进程状态,然后初步了解了Linux进程优先级,而进程优先级与前面内容相差较大,希望大家能够多花点时间理解!
如果是首次购买和使用云服务器实例的个人用户,推荐按照本文介绍的流程快速配置、购买和连接实例。 本文主要介绍 Linux 实例的购买和配置方法 1. 注册账号与选型 新用户需在腾讯云官网进行 注册。...快速配置及购买 CVM 实例 确定云服务器所在地域及可用区 地域选择原则: 靠近用户原则 请根据您的用户所在地理位置选择云服务器地域。云服务器越靠近访问客户,越能获得较小的访问时延和较高的访问速度。...需要多个云服务器内网通信的用户须选择相同云服务器地域。 相同地域下的云服务器可以通过内网相互通信(内网通信,免费)。 不同地域之间的云服务器不能通过内网互相通信(通信需经过公网,收费)。...选择镜像 本文介绍 Linux 实例的购买及登录,请选择 Linux(CentOS 或 Ubuntu)提供镜像。...注意: 使用快速配置购买的云服务器默认没有购买数据盘,不需要执行此步骤操作。 具体操作请参考 Linux 实例数据盘分区及格式化 对 Linux 实例进行数据盘分区及格式化。
领取专属 10元无门槛券
手把手带您无忧上云