攻击者通过Redis未授权访问，写入定时任务，执行挖矿程序。...tmp/conn /tmp/conn: PNG image data, 256 x 256, 8-bit/color RGBA, non-interlaced 首先下载了一个图片，然后通过dd提取出来挖矿程序...[root@server120 tmp]# file /tmp/conns /tmp/conns: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux...), statically linked, stripped 然后每20S检查一下进程是否存活。...这种通过Redis未授权拿服务器挖矿的情况很常见。 处理过程 1)redis增加认证，清空/var/spool/cron/root和authorized_keys。
今天来给大家分享下这两天遇到的一个问题，服务器被挖矿了，把我的排查记录分享下，希望能帮到有需要的同学。...问题原因 ---- 多台服务器持续告警CPU过高，服务器为K8s的应用节点，正常情况下CPU使用率都挺低的，通过排查是原因是被挖矿了，下面为定位过程 定位过程 ---- 登陆问题主机10.92.0.X，...cpu使用率基本跑满（用户态），没有发现可疑的进程，初步怀疑可能是进程在哪里隐藏了 执行命令ps -aux --sort=-pcpu|head -10 嗯哼，藏得够深的，可还是被揪出来啦 ? ?...阻断挖矿程序链接外网服务（很重要） 在/etc/hosts里增加一条 127.0.0.1 g.upxmr.com 阻断挖矿程序链接外网下载可执行文件，不加了的话干掉服务又会起来（除非把服务器网断了） 2...干掉可疑程序“ata”进程 [root@dtdream-common-prod-nginx-03 ~]# kill -9 70497 再次查看发现cpu使用率降下来了，挖矿程序也没启动了。 ? ?
S 13:02 0:00 \_ /usr/sbin/httpd 我们查看httpd 服务器的进程；您也可以用pgrep -l httpd 来查看； 我们看上面例子中的第二列，就是进程PID的列，其中4830...是httpd服务器的父进程，从4833－4840的进程都是它4830的子进程；如果我们杀掉父进程4830的话，其下的子进程也会跟着死掉； [root@localhost ~]# kill 4840 注：...是不是httpd服务器仍在运行？...[root@localhost ~]# kill 4830 注：杀掉httpd的父进程； [root@localhost ~]# ps -aux |grep httpd 注：查看httpd的其它子进程是否存在...，httpd服务器是否仍在运行？
本文作者：Fooying、zhenyiguo、murphyzhang 一、背景 云鼎实验室曾分析不少入侵挖矿案例，研究发现入侵挖矿行为都比较粗暴简单，通过 top 等命令可以直接看到恶意进程，挖矿进程不会被刻意隐藏...二、入侵分析 本次捕获案例的入侵流程与以往相比，没有特殊的地方，也是利用通用漏洞入侵服务器并获得相关权限，从而植入挖矿程序再进行隐藏。...，首先可以明显感觉到服务器的资源被占用而导致的操作迟缓等问题，通过一些常规手段可以发现一些异常信息，但又看不到进程信息： ?...在变更文件里可以看到一些挖矿程序，同时 /etc/ld.so.preload 文件的变更需要引起注意，这里涉及到 Linux 动态链接库预加载机制，是一种常用的进程隐藏方法，而 top 等命令都是受这个机制影响的...云鼎实验室主要关注腾讯云安全体系建设，专注于云上网络环境的攻防研究和安全运营，以及基于机器学习等前沿技术理念打造云安全产品。
WGCLOUD是一款优秀的服务器运维监测软件，可以说是运维人员的必备工具，它部署操作简单方便，性能优秀，不占资源，稳定安全场景一：有时候我们的服务器容易被植入挖矿病毒软件，工程师很难及时发现和处理，这里...WGCLOUD就可以大展身手了WGCLOUD就可以解决这个问题，它可以监测服务器上的异常运行进程，其中就包括挖矿软件，如果发现某个进程持续占用cpu或内存资源，就会提示，并可以在页面手动结束这些木马进程如下图
症状表现 服务器CPU资源使用一直处于100%的状态，通过 top 命令查看，发现可疑进程 kdevtmpfsi。通过 google搜索，发现这是挖矿病毒。 ?...PS：通过 ps -ef 命令查出 kdevtmpfsi 进程号，直接 kill -9 进程号并删除 /tmp/kdevtmpfsi 执行文件。...第三步：kill 掉 kdevtmpfsi 守护进程 kill -9 30903 30904，再 killall -9 kdevtmpfsi 挖矿病毒，最后删除 kdevtmpfsi 执行程序 rm -...事后检查 通过 find / -name "*kdevtmpfsi*" 命令搜索是否还有 kdevtmpfsi 文件 查看 Linux ssh 登陆审计日志。...云主机：完善安全策略，入口流量，一般只开放 80 443 端口就行，出口流量默认可以不限制，如果有需要根据需求来限制。物理机：可以通过硬件防火墙或者机器上iptables 来开放出入口流量规则。
前言 在网上可以搜索到 2 种在腾讯云服务器上安装kali系统的方法： 第一种方法： 通过挂载云硬盘到云服务器上，将kali镜像刻录到挂载的云硬盘中，利用VNC可视化安装kali系统；查看详情 第二种方法...0x01 安装前准备一个 kali linux 镜像：点击下载 一个腾讯云服务器：点击访问 一个 virtualbox 虚拟机软件：点击下载 0x02 安装 virtualbox 软件 双击运行 virtualbox...在virtualbox安装kali虚拟机 首先确定腾讯云的镜像格式要求如下 本文接下来所要演示的镜像格式为：RAW 格式 打开virtualbox，新建虚拟电脑，按要求填写，点击下一步 虚拟机内存大小根据你的云服务器的内存大小而定...系统 不出意外的话就可以看到kali的界面了 到此为止，kali成功部署到腾讯云服务器上了。...而云服务器的硬盘一般都是有50G的大小，安装完kali系统只用了10G，我们需要将剩余近40G空间全分配给kali。 1.
文章目录 中毒特征磁盘cpu 跑满 100% 如何处理 反复发作 中毒特征磁盘cpu 跑满 100% 如何处理 电脑中了挖矿病毒 ps -aux | grep kinsing root 19447
记一次挖矿程序入侵以及解决实操！ 1，过程记录 系统被挖矿程序入侵，导致系统CPU飙升。kill掉进程后自动重启。...无论kill -9还是直接把系统中nanoWatch所对应的进程文件删除，一样会定时重启。...（之前安装redis都是在局域网中，现在使用云服务器把密码设置给忘了。。。）...2，解决思路 1，crontab -e查看系统定时任务是否有恶意下载链接 2. top命令查看当前耗CPU进程，找到该进程文件所在位置 。...配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379. 2. 配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中. 3.
Linux清理挖矿程序@bug Linux清理挖矿程序 最近服务器经常被挖矿，一些经验 1....找到挖矿程序 挖矿程序跑起来几乎占满了所有的CPU，以及GPU，用watch -n1 nvidia-smi可以实时看到挖矿程序的PID号，此时不能用kill -9 PID号来进行清除，会发现它换一个PID...使用top可以看到挖矿程序进程名字xxx（command一行），ps aux|grep xxx 或者ls -l /proc/{PID号}/exe 找到病毒程序的路径位置 2.
前言 本章将会讲解Linux云计算中的进程和任务管理 本章架构 一.程序和进程的关系 ①程序 保存在硬盘、光盘等介质中的可执行代码和数据 静态保存的代码 ②进程 在 CPU 及内存中运行的程序代码...动态执行的代码 父、子进程 每个进程可以创建一个或多个进程 二.查看进程信息 1.ps:查看静态的进程统计信息 [root@localhost ~]# ps -elf 2.top:查看动态的进程排名信息...1>Ctrl+Z 组合键：将当前进程挂起，即调入后台并停止执行 2>jobs 命令:查看处于后台的任务列表 3>fg 命令：将后台进程恢复到前台运行，可指定任务序号 2.终止进程的运行 （1）kill...、killall 命令 1>kill用于终止指定PID号的进程 2>killall用于终止指定名称的所有进程 3>-9 选项用于强制终止 （2）pkill命令:根据特定条件终止相应的进程 (-U：根据进程所属的用户名终止相应进程...（ps、top、pgrep、pstree） 进程控制 启动进程 调度进程（Ctrl＋Z组合键、jobs、bg、fg） 终止进程（kill、killall、pkill） at命令设置计划任务 crontab
top命令查看自己服务器CPU运行情况，会发现kdevtmpfsi的进程，CPU使用率为100%。 1.png 2. 此病毒一般会又定时任务脚本。...查找kdevtmpfsi进程与守护进程kinsing。 ps -aux | grep kinsing ps -aux | grep kdevtmpfsi 2.png 4....杀掉进程删除相应的文件 kill -9 17995 10031 rm -rf /tmp/kdevtmpfsi /var/tmp/kinsing 3.png 5.使用find / -name kdevtmpfsi
二、查杀方法 1、断网，停止定时任务服务； 2、查杀病毒主程序，以及保护病毒的其他进程； 3、恢复被劫持的动态链接库和开机服务； 4、重启服务器和服务； 附查杀脚本(根据情况修改) （脚本参考（https...://blog.csdn.net/u010457406/article/details/89328869）） 查杀完成以后重启服务器，发现过段时间，登陆主机，无论本地还是ssh远程登陆，依然会有病毒进程被拉起...删除并次查杀病毒（重复之前查杀步骤），重启服务器，观察一段时间后不再有病毒程序被拉起，至此病毒被查杀完全。...2、病毒主要模块 主恶意程序：kerberods 恶意Hook库：libcryptod.so libcryptod.c 挖矿程序：khugepageds 恶意脚本文件：netdns (用作kerberods.../lib/libcryptod.so 5> 预加载动态链接库，恶意hook关键系统操作函数 6> 修改/etc/cron.d/root文件，增加定时任务 7> 拉起khugepageds挖矿进程 四、安全防护
I/O size (minimum/optimal): 512 bytes / 512 bytes 执行命令：fdisk /dev/vdb 依次按 "n"、"p"、"3次回车"、"wq"即可 格式化云盘
很多客户网站服务器被入侵，被攻击，找到我们SINE安全公司寻求技术支持与帮助，有些网站被篡改，被跳转，首页内容被替换，服务器植入木马后门，服务器卡顿，服务器异常网络连接，有的客户使用的是阿里云服务器，经常被提醒服务器有挖矿程序...，以及网站被上传webshell的安全提醒，包括腾讯云提示服务器有木马文件，客户网站被攻击的第一时间，是需要立即处理的，降损失降到最低，让网站恢复正常的访问，由于每个客户找到我们SINE安全都是比较着急的...首先我们会对当前服务器的IP，以及IP的地址，linux服务器名称，服务器的版本是centos,还是redhat，服务器的当前时间，进行收集并记录到一个txt文档里，接下来再执行下一步，对当前服务器的异常网络连接以及异常的系统进程检查...并对连接的IP，进行归属地查询，如果是国外的IP，直接记录当前进程的PID值，并自动将PID的所有信息记录，查询PID所在的linux文件地址，紧接着检查当前占用CPU大于百分之30的进程，并检查该进程所在的文件夹...对服务器的启动项进行检查，有些服务器被植入木马后门，即使重启服务器也还是被攻击，木马会自动的启动，检查linux的init.d的文件夹里是否有多余的启动文件，也可以检查时间，来判断启动项是否有问题。
Linux 服务器正常启动后，提供服务时会调用程序，占用进程。这时候我们如何查看系统中有哪些进程在被调用呢？我们可以通过以下命令来查看。...SMar16 0:06 nginx: worker process 二、top 命令 top 命令可动态显示服务器的进程信息。top 命令和 ps 命令的基本作用是相同的，都显示系统当前进程的状况。...kill 命令的工作原理是，向 Linux 系统的内核发送一个系统操作信号和某个程序的进程标志号，然后系统内核就可以对进程标志号指定的进程进行操作了。...另外，大家有兴趣也可以了解一下 pkill 的用法，在服务器里用它来“踢人”还是很方便的，这个命令在工作中我们用得不多，大家稍微了解一下即可。...在 Linux 下，最强大的进程管理命令莫过于 ps 和 top 了，我们应该掌握它们的详细语法，在工作中灵活地使用它们。 注：以上内容整理自《构建高可用的 Linux 服务器》一书。
阿里云ECS服务器是目前很多网站客户在使用的，可以使用不同系统在服务器中，windows2008 windows2012,linux系统都可以在阿里云服务器中使用，前段时间我们SINE安全收到客户的安全求助...，说是收到阿里云的短信提醒，提醒服务器存在挖矿进程，请立即处理的安全告警。...，我们TOP查看进程，追踪查看那些进程在占用CPU，通过检查发现，有个进程一直在占用，从上面检查出来的问题，可以判断客户的服务器被植入了挖矿程序，服务器被黑，导致阿里云安全警告有挖矿进程。...原来是客户的服务器中了挖矿木马，我们来看下top进程的截图： ?...我们对占用进程的ID，进行查找，发现该文件是在linux系统的tmp目录下，我们对该文件进行了强制删除，并使用强制删除进程的命令对该进程进行了删除，CPU瞬间降到百分之10，挖矿的根源就在这里，那么黑客是如何攻击服务器
mmbizwap/zh_CN/htmledition/style/page/appmsg_new/winwx45ba31.css"; head.appendChild(link); } })(); 云鼎实验室
如果对前面Linux进程不太熟悉可以先阅读： Linux进程 本篇主要内容： 僵尸进程和孤儿进程 Linux进程优先级 1. 僵尸进程 僵尸进程就是处于僵尸状态下的进程！...所以，只要子进程退出，父进程还在运行，但父进程没有读取子进程状态，子进程进入Z状态 僵尸状态就是Linux状态中的X死亡状态！...配置进程优先权对多任务环境的linux很有用，可以改善系统性能。...NI ：NICE值，表示优先级的修改数据 NICE其取值范围是-20至19，一共40个级别 Linux进程的优先级数值范围:60~99 Linux中默认进程的优先级都是:80 Linux是支持动态优先级调整的...总结 本篇文章前部分紧贴上篇Linux进程，分析完了Linux下常见的进程状态，然后初步了解了Linux进程优先级，而进程优先级与前面内容相差较大，希望大家能够多花点时间理解！
如果是首次购买和使用云服务器实例的个人用户，推荐按照本文介绍的流程快速配置、购买和连接实例。 本文主要介绍 Linux 实例的购买和配置方法 1. 注册账号与选型 新用户需在腾讯云官网进行 注册。...快速配置及购买 CVM 实例 确定云服务器所在地域及可用区 地域选择原则： 靠近用户原则 请根据您的用户所在地理位置选择云服务器地域。云服务器越靠近访问客户，越能获得较小的访问时延和较高的访问速度。...需要多个云服务器内网通信的用户须选择相同云服务器地域。 相同地域下的云服务器可以通过内网相互通信（内网通信，免费）。 不同地域之间的云服务器不能通过内网互相通信（通信需经过公网，收费）。...选择镜像 本文介绍 Linux 实例的购买及登录，请选择 Linux（CentOS 或 Ubuntu）提供镜像。...注意： 使用快速配置购买的云服务器默认没有购买数据盘，不需要执行此步骤操作。 具体操作请参考 Linux 实例数据盘分区及格式化 对 Linux 实例进行数据盘分区及格式化。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
