中文字幕精品av乱码在线,亚洲色大成网站www永久一区,亚洲精品无码久久久久久久,综合亚洲综合图区网友自拍,亚洲国产成人无码电影

產(chǎn)品

硅云幫助文檔中心

搜索文檔

熱門搜索詞：

服務(wù)器被植入挖礦木馬自助排查清理手冊(cè)

更新時(shí)間：2025-06-16?18:06 ?版本：v1.0
分享到： ? ?
我要反饋?
收藏 我的收藏

挖礦木馬會(huì)占用CPU進(jìn)行超頻運(yùn)算，從而占用主機(jī)大量的CPU資源，嚴(yán)重影響服務(wù)器上的其他應(yīng)用的正常運(yùn)行。

黑客是怎么入侵的？

黑客為了得到更多的算力資源，一般都會(huì)對(duì)全網(wǎng)進(jìn)行無差別掃描，同時(shí)利用SSH爆破、各種漏洞等手段攻擊主機(jī)。部分挖礦木馬還具備蠕蟲化的特點(diǎn)，在主機(jī)被成功入侵之后，挖礦木馬還會(huì)向內(nèi)網(wǎng)滲透，并在被入侵的服務(wù)器上持久化駐留以獲取最大收益。

如何簡(jiǎn)單判斷是否被入侵？

挖礦木馬會(huì)在用戶不知情的情況下利用主機(jī)的算力進(jìn)行挖礦，最明顯的特征就是主機(jī)的CPU被大量消耗，查看云主機(jī)CPU占用率的方法有兩種：

1、通過硅云管理控制臺(tái)的資源監(jiān)控功能進(jìn)行查看，通過圖形化的CPU監(jiān)控，該項(xiàng)監(jiān)控室最準(zhǔn)確的。

2、通過登錄服務(wù)器系統(tǒng)內(nèi)進(jìn)行查看（linux系統(tǒng)執(zhí)行top命令查看、Windows系統(tǒng)打開任務(wù)管理器查看）


如果在系統(tǒng)內(nèi)top命令發(fā)現(xiàn)高占用CPU的異常進(jìn)程，則需考慮是否為挖礦木馬，這種是最簡(jiǎn)單的木馬，它根本沒有做任何隱藏，排查困難點(diǎn)的是做了蹤跡隱藏的木馬，可以按照以下方法繼續(xù)排查。


1、通過查看以上兩種狀態(tài)下的CPU占用情況，根據(jù)情況來分析：


1、如果在硅云控制臺(tái)查看到CPU滿載或高負(fù)載，但是在云服務(wù)器系統(tǒng)內(nèi)檢查CPU的綜合負(fù)載并不高，這種情況基本可以斷定被植入了木馬，木馬已經(jīng)隱藏了自己。

2、如果在硅云控制臺(tái)查看到CPU滿載或高負(fù)載，在系統(tǒng)內(nèi)top命令查看到綜合CPU使用率很高，但是各項(xiàng)進(jìn)程所占CPU負(fù)載都不高，加起來和總占用CPU差距非常大，這同樣說明該木馬進(jìn)程將系統(tǒng)命令篡改了，從而隱藏了木馬進(jìn)程的蹤跡。


2、通過系統(tǒng)防火墻的規(guī)則檢查

原理：挖礦木馬不僅會(huì)連接礦池，還有可能會(huì)連接黑客的C2服務(wù)器，接收并執(zhí)行C2指令、投遞其他惡意木馬，所以可以通過排查是否有異常的規(guī)則來判斷，并及時(shí)進(jìn)行網(wǎng)絡(luò)阻斷。


①檢查主機(jī)防火墻當(dāng)前生效的iptables規(guī)則中是否存在業(yè)務(wù)范圍之外的可疑地址和端口，它們可能是挖礦木馬的礦池或C2地址：

iptables -L -n


②從iptables規(guī)則中清除可疑地址和端口：

vi /etc/sysconfig/iptables


③阻斷挖礦木馬的網(wǎng)絡(luò)通信：

iptables -A INPUT -s 可疑地址 -j DROP
iptables -A OUTPUT -d 可疑地址 -j DROP


3、通過計(jì)劃任務(wù)檢查


可以通過執(zhí)行如下命令查看是否存在可疑定時(shí)任務(wù)，若有，則先保存相關(guān)記錄用于后續(xù)分析，再進(jìn)行刪除：  查看系統(tǒng)當(dāng)前用戶的計(jì)劃任務(wù)：

crontab -l


查看更多計(jì)劃任務(wù)：

cat /etc/crontab
cat /var/spool/cron
cat /etc/anacrontab
cat /etc/cron.d/
cat /etc/cron.daily/
cat /etc/cron.hourly/
cat /etc/cron.weekly/
cat /etc/cron.monthly/
cat /var/spool/cron/



4. 清除啟動(dòng)項(xiàng)

除了計(jì)劃任務(wù)，挖礦木馬通過添加啟動(dòng)項(xiàng)同樣能實(shí)現(xiàn)持久化?？梢允褂萌缦旅畈榭撮_機(jī)啟動(dòng)項(xiàng)中是否有異常的啟動(dòng)服務(wù)。

CentOS7以下版本：

chkconfig –list


CentOS7及以上版本：

systemctl disable 服務(wù)名

更多詳細(xì)的參考

以內(nèi)部分內(nèi)容參考的【相關(guān)文章】https://www.cnblogs.com/angryprogrammer/p/13456681.html



您對(duì)該文檔有什么建議？

您對(duì)該文檔的評(píng)分：

本文導(dǎo)航

黑客是怎么入侵的？

如何簡(jiǎn)單判斷是否被入侵？

更多詳細(xì)的參考

搜索文檔