运维同事反映一台阿里云测试机,反映很慢,除了跑一些docker容器,没有其他服务。
ps -ef查看当前进程,发现存在多个cryptonight加密货币的挖矿进程,分别为proc, thisxxs, xmrig:
对这些进程的所在路径进行排查,使用lsof工具查看它们打开的文件:进程所使用的文件都已经找不到,初步判断是被删除。
换个思路(中间尝试过各种假设)扫描该服务器,发现开放了2375端口,说明开放了Docker swarm编排工具WEB接口服务。外网尝试通过浏览器直接访问 API ,查看容器信息,表明存在未授权访问漏洞。