本文记录了一次在CentOS7.3环境中遭遇病毒的情况，描述了如何发现并处理病毒进程的过程。病毒通过替换系统命令ps进行隐藏，并高占用CPU资源。通过分析，确认病毒为perl脚本，从/tmp目录执行并与远程IP通信。最终通过重启安装ps rpm包，杀掉相关进程，恢复正常。该事件提醒我们重视系统安全，尤其是密码管理和SSH密钥登录。
一个环境，突然使用很卡顿，于是用top查看什么进程占用了资源，发现进程中有大量b开头的进程，基本确定系统是中病毒了。
如上图，top显示大量b开头进程，进程号还不停的变。快速用lsof -p <PID>,查看一个病毒进程，结果如下
lsof的输出来看，病毒进程程序体被删除了。尝试用rm去删除程序体也显示无文件。
于是用ps命令查看进程情况，竟然发现无法列出病毒进程
ps命令无法列出进程名，十有八九ps命令的文件被替换了，好多病毒有这方面的套路，于是重启安装ps的rpm包，恢复ps命令。重新安装ps的rpm包后，ps命令的md5值确实不一样了，基本可以断定ps命令被替换了。
最低0.47元/天 解锁文章
扫一扫
1336
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
