最近买的云服务器中毒了，起因是安装 redis 的时候默认安装，没有进行安全配置。过了一个晚上就被入侵了，好像是挖矿病毒。症状就是每天 1 点中会跑很多的定时任务，造成服务器内存溢出。定时任务会运行 ftpdns 和 ftphttp 两个文件，具体代码就不传播了。有遇到的麻烦提供一下解决方法。
This topic created in 2773 days ago, the information mentioned may be changed or developed.
 |
goodrybApr 8, 2019
1
有快照就回滚，没有就重装吧，以免后患
|
 |
2
开 ssh，让我上去看看。
|
1 |
claysecApr 8, 2019
3
#1 +1
|
 |
pynixApr 8, 2019
4
你干嘛把入网端口打开呢？
|
 |
jjc27017Apr 8, 2019
5
如果没有重要资料在上面就直接删掉重新安装系统就可以了，redis / mongo 这种全部按默认，然后暴露公网的最容易被搞
|
 |
javashellApr 8, 2019 via Android
8
猜测 redis 未授权导致的，看看定时任务和进程有没有挖矿程序运行
|
 |
9
@javashell 有定时任务，会从 https://pastebin.com/上 down 程序，每天一点运行
|
 |
1OApr 8, 2019
13
你这没啥损失重装就行了，以前我有一台机器中招了流量给我跑超了 2000 多块钱，钱被扣了才发现，肠子都悔青了。
|
 |
52coderApr 8, 2019
18
问题解决了吗，你指的 redis 默认安装存在问题，需要如何避免？ 刚好最近在看 redis，我安装就是 make make install
|
 |
luanluanApr 8, 2019
19
开 SSH 我来给你弄
|
 |
20
重装吧，估计很多基础命令都被换了
|
 |
wesall100200Apr 8, 2019
21
@defunct9 哥们这句话好眼熟哈哈
|
 |
fengyjApr 8, 2019 via Android
22
用着 win server2012 正常。
|
 |
auliaApr 8, 2019 via Android
23
妥妥的 redis 开默认没密码
|
 |
abc12524Apr 8, 2019
24
让我康康！
|
|
jjc27017Apr 8, 2019
25
最好是直接删了重开一个吧，那些脚本做了什么排查起来很耗时间的，改了底层的话你继续用又不知道。之后注意高危软件的配置就好了（不使用默认端口，账号密码认证登录，最好能指定源 ip 地址访问）
|
 |
recall704Apr 8, 2019
26
之前我的云服务器也中毒了，分析一波发现是挖矿的。
skill -STOP 15753 你可以通过上面这个命令，冻结进程，让后慢慢分析。 |
 |
tomczhenApr 8, 2019
27
改本地 host 让脚本更新地址失效就好 :doge:
|
 |
JblueApr 8, 2019
28
我也遇到过，最好的方法还是重装。舍不得的话看看 redis 里面有没有奇怪的数据多出来，看看服务器上有没有多出用户。
|
 |
jhsea3doApr 8, 2019
29
重装吧，保险点， 安全组只开 ssh / http(s)
|
 |
lrh3321Apr 8, 2019 via Android
30
重装保险点。以前也碰上过，后来 redis 就老老实实跑 docker 里了
|
 |
cnzjlApr 8, 2019
31
|
 |
nickfanApr 8, 2019
32
公司老服务器中过同样的枪，给你个方案参考一下：
1. 改 /etc/hosts 先屏蔽 pastebin.com 2. 清理各个用户下的 crontab 中的自动下载脚本 3. 用 ll -rt 在 /etc/init.d/下看一下最近添加的启动脚本 4. 用 lsof -p 看内存中这些垃圾进程打开的文件句柄关联的文件，并清理之。 5. 确认没问题，取消 pastebin.com 的屏蔽 6. 重启过一段时间确认没有问题。 done. |
 |
catalinaApr 8, 2019 via Android
33
我都是开在 loopback 接口上，然后需要调试的时候直接 ssh 本地映射过来(这样在机器上看过去就是 localhost 连接到服务器上的)弄的。。。
|
 |
bk201Apr 8, 2019
34
这时候就体现容器化的好处了
|
 |
hxz0803Apr 8, 2019
35
|
 |
mikeguanApr 9, 2019 via Android
36
1. 不用 root 启动 Redis
2. 可以的话不用默认端口 3. 开启授权认证，密码建议 32 位以上 |
 |
akiraApr 9, 2019
37
重新开一台 数据导过来以后 原来的直接废弃
|
 |
linnilApr 9, 2019
38
很久没关注`redis`的挖矿木马了，解决方案参考：[对抗这种 rootkit 难度爆表，，回滚更划算，]( https://www.v2ex.com/t/537457?p=1)
|
|
39
改了用户名，好像运行的代码里会判断用户名是否等于 root，过了一天发现定时任务里没有增加，再等等看好不好使
|
 |
rootitApr 10, 2019
40
这种问题 直接回滚或重装系统，别想能清理干净 rootkit，别报一丝希望
|
Select Language