Linux被kdevtmpfsi挖矿病毒入侵 一....错误信息 二.解决问题 1.首先停掉kdevtmpfsi的程序 2.删除Linux下的异常定时任务 3.结束kdevtmpfsi进程及端口占用 4.删除掉kdevtmpfsi的相关文件 三.怎么预防处理这个病毒...1.首先停掉kdevtmpfsi的程序 ps aux 找到kdevtmpfsi的进程 删除掉与kdevtmpfsi相关的进程 kill -9 20267 kill -9 20367 2.删除Linux
检查系统的异常文件 查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以.为名的文件夹具有隐藏属性 > ls -al 查找1天以内被访问过的文件 > find /opt -iname "*"...-atime 1 -type f -iname不区分大小写,-atime最近一次被访问的时间,-type文件类型 检查历史命令 查看被入侵后,在系统上执行过哪些命令,使用root用户登录系统，检查/home...检查系统日志 在Linux上一般跟系统相关的日志默认都会放到/var/log下面，若是一旦出现问题，用户就可以通过查看日志来迅速定位，及时解决问题。
入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。...在做入侵排查的时候，用户配置文件/etc/passwd和密码配置文件/etc/shadow是需要去重点关注的地方。...strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量: > lsof -p $PID #列出该进程所打开的所有文件 检查系统服务 Linux...> cat /etc/rc.local 检查计划任务 利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。
md5sum 校验执行文件判断，先找个同版本操作系统，获取到这个工具执行文件的 md5 值，再获取可疑的工具执行文件 md5 值，比较两个值是否相同，如果相同说明这个工具是可信任的，如果不相同很有可能是被替换的...擦，还有几个，初步判断是工具被替换了。 还有一个怎么叫 getty 呢，再正常系统里面对比进程，发现没有这个。估计又是黑客留下的，劳资怒了，宁可错杀一百，也不放过一个！ ? 杀掉进程，删除目录。...删除后会自动生成 /usr/bin/bsd-port #判断是自动生成 java.log 或着后门程序 /usr/sbin/.sshd #判断是后门程序 小心，直接执行 java.log 可能会导致 Linux...如果是 XSS 攻击，应用层漏洞入侵怎么办？ 针对这些问题，从我们公司角度来说，尽量不重装系统，业务太复杂。找出入侵点，跑的程序多，攻击面多，很棘手。先这样吧！兵来将挡，水来土掩。...让黑客趁机入侵的原因： 运维对网络安全实施落实力度低 没有相关安全测试人员，不能及时发现应用层漏洞 等等… 针对这次攻击，总结了下防护思路： Linux 系统安装后，启用防火墙，只允许信任源访问指定服务
如果相同说明这个工具是可信任的，如果不相同很有可能是被替换的。 另外，一般工具可执行文件大小都在几十K到几百K。 但我没有选择用md5方式来判断工具是否可信任，因为完全相同版本的操作系统并不好找。...擦，还有几个，初步判断是工具被替换了。 还有一个怎么叫getty呢，再正常系统里面对比进程，发现没有这个。 宁可错杀一百，也不放过一个！ 杀掉进程，删除目录。...如果是XSS攻击，应用层漏洞入侵怎么办？ 针对这些问题，从我们公司角度来说，尽量不重装系统，业务太复杂。找出入侵点，跑的程序多，攻击面多，很棘手。 就先这样吧！兵来将挡，水来土掩。...~ 被黑客趁机入侵的原因： 1. 运维对网络安全实施落实力度低 2. 没有相关安全测试人员，不能及时发现应用层漏洞 等等......针对这次攻击，总结了下防护思路： 1. linux系统安装后，启用防火墙，只允许信任源访问指定服务，删除不必要的用户，关闭不必要的服务等。 2.
入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。...在做入侵排查的时候，用户配置文件/etc/passwd和密码配置文件/etc/shadow是需要去重点关注的地方。...strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量: > lsof -p $PID #列出该进程所打开的所有文件 检查系统服务 Linux...cat /etc/rc.local 检查计划任务 利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。...cron.monthly/* /etc/cron.weekly/ /etc/anacrontab /var/spool/anacron/* 原文链接:https://rumenz.com/rumenbiji/linux-hacking
入侵者在入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。...在做入侵排查的时候，用户配置文件/etc/passwd和密码配置文件/etc/shadow是需要去重点关注的地方。...strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量: > lsof -p $PID #列出该进程所打开的所有文件 检查系统服务 Linux...cat /etc/rc.local 检查计划任务 利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。
一、检查系统日志 lastb //检查系统错误登陆日志，统计IP重试次数 二、检查系统用户 1、cat /etc/passwd //查看是否有异常的系统用户 2...
来源：计算机与网络安全 ID：Computer-network 随着开源产品的越来越盛行，作为一个Linux运维工程师，能够清晰地鉴别异常机器是否已经被入侵了显得至关重要，个人结合自己的工作经历，整理了几种常见的机器被黑情况供参考...背景信息：以下情况是在CentOS 6.9的系统中查看的，其它Linux发行版类似。 1.入侵者可能会删除机器的日志信息，可以查看日志信息是否还存在或者是否被清空，相关命令示例： ?...2.入侵者可能创建一个新的存放用户名及密码文件，可以查看/etc/passwd及/etc/shadow文件，相关命令示例： ?...11.如果确认机器已经被入侵，重要文件已经被删除，可以尝试找回被删除的文件。 1>当进程打开了某个文件时，只要该进程保持打开该文件，即使将其删除，它依然存在于磁盘中。...3>当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。
检查系统的异常文件 查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以.为名的文件夹具有隐藏属性 > ls -al 查找1天以内被访问过的文件 > find /opt -iname "*" -...atime 1 -type f -iname不区分大小写,-atime最近一次被访问的时间,-type文件类型 检查历史命令 查看被入侵后,在系统上执行过哪些命令,使用root用户登录系统，检查/home...检查系统日志 在Linux上一般跟系统相关的日志默认都会放到/var/log下面，若是一旦出现问题，用户就可以通过查看日志来迅速定位，及时解决问题。...> gerp "Accepted" /var/log/secure | awk '{print $1,$2,$3,$9,$11}' 原文链接:https://rumenz.com/rumenbiji/linux-hacking
记录一次查询清除木马过程 木马名称： Linux.BackDoor.Gates.5 链接：https://forum.antichat.ru/threads/413337/ 前两天服务器被扫描后...那就删掉被更改的，从其他同配置服务器拷贝一份。 记的拷贝过来要给予755 权限。 1 ?...注意rm命令也被掉包了，需要更换！...FOUND为病毒 grep FOUND /root/usrclamav.log /usr/bin/.sshd: Linux.Trojan.Agent FOUND /usr/sbin/ss: Linux.Trojan.Agent...加强自身安全 但是此时还不知道系统入侵的原因，只能从两个方面考虑：暴力破解和系统及服务漏洞 a、yum update 更新系统（特别是bash、openssh和openssl） b、关闭一些不必要的服务
一次Linux被入侵后的分析 下面通过一个案例介绍下当一个服务器被rootkit入侵后的处理思路和处理过程，rootkit攻击是Linux系统下最常见的攻击手段和攻击方式。...为了证明系统是否被植入了rootkit，我们将网站服务器下的ps、top等命令与一个同版本可信操作系统下的命令做了md5sum校验，结果发现网站服务器下的这两个命令确实被修改过，由此断定，此服务器已经被入侵并且安装了...但是系统命令已经被替换掉了，如果继续在该系统上执行操作将变得不可信，这里可以通过两种方法来避免这种情况，第一种方法是将此服务器的硬盘取下来挂载到另外一台安全的主机上进行分析，另一种方式就是从一个同版本可信操作系统下拷贝所有命令到这个入侵服务器下某个路径...，并且被修改为可远程登录，之所以使用mail帐号，猜想可能是因为入侵者想留下一个隐蔽的帐号，以方便日后再次登录系统。...（4） 使用Linux下的Tcp_Wrappers防火墙，限制ssh登录的源地址。 原文地址：http://www.server110.com/linux_sec/201407/10731.html
Linux入侵经历 被入侵的一次经历 今天给大家说说一次被入侵的经历，仅供大家参考。 事件起因 2017年9月7日下午测试带宽，登录到服务器。在/tmp目录下发现可疑执行文件SPR。...果然有该进程，基本可以判断该系统已经被入侵了。 根据操作记录发现，入侵者从某个IP地址（江苏镇江电信）下载了可疑程序SPR。修改了其为可执行。然后把该程序放到了/root目录及/tmp目录。...检查系统文件是否被替换 使用如下命令来检测系统文件是否被替换： [root@server log]# rpm -Va Unsatisfied dependencies for ghostscript-fonts...还有一个问题就是，系统的ps命令如果被替换了，我们有可能就查看不出可疑进程了。 检查有无可疑的定时任务 定时任务一般不会做什么手脚。最有可能的是修改了系统的启动脚本。...事后总结 本次系统被入侵，主要是由于系统密码过于简单所致。密码简单到。。。，哎，你懂得。 设置复杂的密码，使用工具生成随机的密码，且密码长度大于20位。
今天来给大家分享下这两天遇到的一个问题，服务器被挖矿了，把我的排查记录分享下，希望能帮到有需要的同学。...问题原因 ---- 多台服务器持续告警CPU过高，服务器为K8s的应用节点，正常情况下CPU使用率都挺低的，通过排查是原因是被挖矿了，下面为定位过程 定位过程 ---- 登陆问题主机10.92.0.X，...cpu使用率基本跑满（用户态），没有发现可疑的进程，初步怀疑可能是进程在哪里隐藏了 执行命令ps -aux --sort=-pcpu|head -10 嗯哼，藏得够深的，可还是被揪出来啦 ? ?...:999/version.txt",并下载 写入到本地隐藏文件/tmp/.x,然后执行 注意：这个执行文件会修改服务器的一些配置，如dns，hosts，定时任务，创建可执行文件 查看dns 果然dns被修改了...查看定时任务 一般情况使用crontab -l是看不到的，需要查看/etc/crontab， 发现定时任务被加入了一条 0 /8 * * root /usr/lib/libiacpkmn.so.3 ?
一、检查系统日志 lastb命令 检查系统错误登陆日志，统计IP重试次数 二、检查系统用户 1、cat /etc/passwd 查看是否有异常的系统用户 2、g...
二、入侵分析 本次捕获案例的入侵流程与以往相比，没有特殊的地方，也是利用通用漏洞入侵服务器并获得相关权限，从而植入挖矿程序再进行隐藏。...在服务器被入侵后，首先可以明显感觉到服务器的资源被占用而导致的操作迟缓等问题，通过一些常规手段可以发现一些异常信息，但又看不到进程信息： ?...在变更文件里可以看到一些挖矿程序，同时 /etc/ld.so.preload 文件的变更需要引起注意，这里涉及到 Linux 动态链接库预加载机制，是一种常用的进程隐藏方法，而 top 等命令都是受这个机制影响的...——段落引自《警惕利用 Linux 预加载型恶意动态链接库的后门》 通过查看文件内容，可以看到加载一个 .so 文件：/usr/local/lib/libjdk.so ?...继续分析变更的文件，还能看到相关文件也被变更，比如黑客通过修改 /etc/rc.d/init.d/network 文件来进行启动： ? 同时修改 /etc/resolv.conf ： ?
原文:https://cloud.tencent.com/developer/article/1882357 1、入侵者可能会删除机器的日志信息，可以查看日志信息是否还存在或者是否被清空，相关命令示例：...1.入侵者可能会删除机器的日志信息，可以查看日志信息是否还存在或者是否被清空，相关命令示例： [root@hlmcen69n3 ~]# ll -h /var/log 2.入侵者可能创建一个新的存放用户名及密码文件...hlmcen69n3 ~]# ll /usr/bin/python -rwxr-xr-x. 2 root root 9032 Aug 18 2016 /usr/bin/python 11.如果确认机器已经被入侵...3.当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过 lsof 从 / proc 目录下恢复该文件的内容。...假设入侵者将 / var/log/secure 文件删除掉了，尝试将 / var/log/secure 文件恢复的方法可以参考如下： a.
如何判断自己的服务器是否被入侵了呢？仅仅靠两只手是不够的，但两只手也能起到一些作用，我们先来看看UNIX系统上一些入侵检测方法，以LINUX和solaris为例。...但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，国家查询的结果是否正常来判断文件是否完整。...LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件，检查该文件的完整性，可以直接cat /etc/crontab，仔细阅读该文件有没有被入侵者利用来做其他的事情。...另外，对这个内核进行加固模块时应尽早进行，以防系统调用已经被入侵者替换。...设想，假设你的系统依赖于入侵检测系统，而入侵检测系统被攻击者搞掉，那你的系统将大门敞开，任由出入，后果不堪设想。
0x00 审计命令 在linux中有5个用于审计的命令： last：这个命令可用于查看我们系统的成功登录、关机、重启等情况；这个命令就是将/var/log/wtmp文件格式化输出。...last -x reboot 只针对登录 使用-d参数，并且参数后不用跟任何选项 last -d 显示错误的登录信息 lastb 查看当前登录情况 who、w 0x01 日志查看 在Linux...（utmp、wtmp日志文件是多数Linux日志子系统的关键，它保存了用户登录进入和退出的记录。...0x02 用户查看 Linux不同的用户，有不同的操作权限，但是所有用户都会在/etc/passwd /etc/shadow /etc/group /etc/group- 文件中记录； 查看详细 注：linux...*：查看cron文件是变化的详细 ls /var/spool/cron/ 检查后门 对于linux的后门检查，网络上有一些公开的工具，但是在不使用这些工具的前提时，我们可以通过一些命令来获取一些信息。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
