阿里云自变异病毒处理-clamav

阿里云自变异病毒处理

前几天因为yapi的一个漏洞，导致服务器遭受攻击。说一下处理流程。
1.通过top查找占用cup和内存高的可疑程序。
2.通过进程号找到按照目录，删除文件，停用程序。
一开始我就是这么干的，没过多久，阿里云报了一个自变异病毒，我准备去查询进程号，使用netstat，ps，lsof命令我发现不对劲了，没有任何反应
登录到服务器查询/bin目录，文件大小不对，可以明确感染文件不止一处，所以需要通过软件进行全盘扫描。linux下比较常见的杀毒工具是clamav，于是决定安装扫描全盘。

二、安装clamav
前置条件，安装zlib 与gcc

yum install zlib
yum install gc

2.1 下载安装包
http://www.clamav.net/download.html
2.2.添加用户组clamav和组成员clamav

groupadd clamav
useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav

2.3.安装Clamav-0.103.3

tar xvzf clamav-0.103.3.tar.gz
cd clamav-0.103.3
./configure --prefix=/opt/clamav --disable-clamav -with-zlib=/usr/local/zlib
make
make install

3.配置Clamav
修改clamav-0.103.3文件名称

mv clamav-0.103.3 clamav

3.1创建目录

mkdir /opt/clamav/logs
mkdir /opt/clamav/updata

3.2创建文件

touch /opt/clamav/logs/freshclam.log
touch /opt/clamav/logs/clamd.log

3.3 修改文件权限

chown clamav:clamav clamd.log
chown clamav:clamav freshclam.log

3.4 初始化配置文件

cp /opt/clamav/etc/clamd.conf.sample /opt/clamav/etc/clamd.conf
cp /opt/clamav/etc/freshclam.conf.sample /opt/clamav/etc/freshclam.conf

3.5 编辑配置文件

vim /opt/clamav/etc/clamd.conf

 # Example 注释掉这一行
增加以下内容
LogFile /opt/clamav/logs/clamd.log
PidFile /opt/clamav/updata/clamd.pid
DatabaseDirectory /opt/clamav/updata

vim /opt/clamav/etc/freshclam.conf
# Example 注释掉这一行

4.使用
4.1 更新病毒库

sudo freshclam

4.2 全盘扫描

sudo clamscan -ri / -l o >> clamscan-0714.log

最后查看log文件，删除中病毒文件，搞定了。