阿里云服务器被挖矿程序侵入问题

一、起因

        公司需要自行管理代码，所以搞了个阿里云服务器装Gitlab，装的时候版本是13.9.4（在Gitlab挖矿漏洞的版本内）。一直正常使用，然后半夜突然收到阿里云告警短信，说服务器可能存在挖矿程序，部分端口被禁用。于是白天弄完其他事情后开始处理这个挖矿程序。

二、过程

        之前也有服务器被这样搞过，所以想着处理起来应该也很快，结果，并不顺利，下面展开说

2.1 定位挖矿程序位置

•  先用top命令查看服务器资源占用情况，发现两个用户是git的exe，把CPU占满了
•  再用lsof -p [pid]查询程序来源，发现是从100.20.97.83.ro.ovo.sc:https这个地方下载过来的，一查，是国外的ip，挖矿程序在执行完后已被删除
• 使用su git 进度git用户，使用crontab -l 查看有没有定时任务启动，结果发现也没有，好家伙，没有定时任务，也没有执行程序，那应该是守护进程弄的了。根据某度查询，发现是正在使用的gitlab版本有远程漏洞，所以被钻了空子。
• 停掉gitlab（gitlab-ctl stop），按照指引升级gitlab版本到无漏洞的版本，这里我选择了13.9.7（Index of /gitlab-ce/yum/el7/ | 清华大学开源软件镜像站 | Tsinghua Open Source Mirror），由于服务器端口被禁用，弄的下载都下不了，只能从其他地方下载安装包，然后传到服务器。
• 安装升级完成后，top发现还有git用户的进程在运行，全部kill掉，再启动gitlab，就解决掉了挖矿程序问题，后续再观察一段时间，看有没有复发。

 三、其他

        过程中用到了busybox（https://busybox.net/downloads/）这个程序，主要是防止linux基础指令也已经被挖矿程序给修改，导致完全被挖矿程序骗的情形。

参考链接：

git-linux-xll？x11-unix 挖矿病毒问题定位与处理 - 知乎linux x11 挖矿病毒,应急响应：记一次花样贼多的挖矿病毒_weixin_39542093的博客-优快云博客