记录一次服务器一直向外发送大量请求（挖矿病毒）排除

最新推荐文章于 2025-10-13 21:50:44 发布

原创

最新推荐文章于 2025-10-13 21:50:44 发布 · 691 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#服务器 #运维

1、症状

服务器一直向外发送SYN请求，并且无法通过netstat -anplt获取到对应的PID
服务器CPU一直很低，通过PS查找不到异常程序
安装NetHogs，工具卡死，无法显示是那个程序发起的请求（因为请求都是SYN_SEND，并且发生完成，进程就死亡），只能显示-

2、原因
1、大概率是因为Redis没有认证密码，通过aof设置定时任务，拉取病毒脚本http://oracle.zzhreceive.top/b2f628/b.sh
2、相关分析看博客1、博客2
3、病毒是TeamTNT变种

3、解决方案

1、删除认证密钥
cd ~/.ssh/ 
cat authorized_keys*
[root@redis-server .ssh]# lsattr authorized_keys*  
-----a---------- authorized_keys
-----a---------- authorized_keys2
[root@redis-server .ssh]# chattr -a authorized_keys*
[root@redis-server .ssh]# echo > authorized_keys
[root@redis-server .ssh]# echo > authorized_keys2
2、停止进程，并且删除文件
rm -rf /var/tmp/.copydie/
[root@redis-server ~]# systemctl stop kswapd0
[root@redis-server ~]# rm -f /et