记一次阿里云服务器被感染挖矿病毒ZIGW处理

记一次阿里云服务器被感染挖矿病毒ZIGW处理

1. 背景：有一天忽然发现阿里云部署的网站一打开本地cpu就跑满，然后到阿里云网站查看说是有感染zigw挖矿病毒。然后登陆阿里云服务器，用top命令查看看到cpu使用率有一个程序是使用率到了300%,然后一查说是有个挖矿病毒，按照网上的方法解决了，把linux服务器中的病毒删掉了。但是网站打开还是cpu占有率很高。下面附解决方法。

2. 参考资料：https://blog.youkuaiyun.com/sayWhat_sayHello/article/details/83988443
   按照上面网址中的办法就可以吧linux服务器中的病毒杀掉了，但是如果你网站也被感染的话，还需要下面操作。

3. 原因：根据查询被挖矿感染的原因是我服务器中使用了redis，我把redis配置文件设置成可以外网访问。就是我可以用RedisDesktopManager这个redis可视化工具连接到，也就是这个为挖矿的留下了漏洞。
   redis安装配置资料：https://www.cnblogs.com/renzhicai/p/7773080.html
   http://www.cnblogs.com/dami-xiaomi/p/9242405.html
   照着上面俩个连接就可以安装redis并配置好了。
   上述配置存在问题：其中有个配置文件中要修改#127.0.0.1这个位置，
   修改redis.conf文件中的几个配置项
   将bind 127.0.0.1改为#bind 127.0.0.1（即注释掉）这个位置，是为了远程可以访问reidis的功能。但是这样处理就为挖矿程序留下漏洞。所以自己试的时候可以注释掉，但是生产环境时候还是只能本地访问比较好。我后面解决远程访问就是修改的这里。改为只能本地访问。

4. 按上面的步骤改完以后服务器本地是没什么问题了，但是之前部署的网站打开cpu占用还是基本满的。按照网上说法是挖矿程序感染了网站的js文件，既然感染了，那我把网站文件删掉冲新打包部署后就可以了。
   
   上图是chrome浏览器打开被感染网站F12以后看到的。画红框的都是js注入的内容，在本地起了8个线程，一直在使用本地资源挖矿，然后指向了右边那个站点，我ping了一下是台湾高雄的站点。
   这种情况就需要重新打包部署网站。完了以后就没问题了。

---

如有帮助请支持：(^▽)