如何刪除惡意挖礦程序

近機(jī)器被挖礦程序占領(lǐng),機(jī)器響應(yīng)很慢性芬,記錄一下如何清理挖礦程序

1 執(zhí)行top命令曹宴, 找到挖礦程序的進(jìn)程號

2 執(zhí)行命令,查看實(shí)際運(yùn)行的程序

? ?ls -l? ?/proc/進(jìn)程號/exe?

可以看到程序啟動后往弓,腳本就被刪除了

3 查看進(jìn)程的由來

lsof -p 進(jìn)程號,可以看到源頭是從/tmp下的子目錄來的蓄氧,是從一個119.205.235.58上獲取木馬代碼

4 查看并刪除定時任務(wù)

crontab -l? ?//查看定時任務(wù)

crontab -r? //刪除定時

在/root目錄下發(fā)現(xiàn)腳本文件函似,開始處理

5 查看.systemd**.sh文件

首先修改.systemd**.sh文件的權(quán)限為不可執(zhí)行

chmod 000 .system**.sh

cat .systemd**.sh文件,會發(fā)現(xiàn)代碼用了base64編碼喉童,可以使用bejson.com解碼看內(nèi)容撇寞,解碼后內(nèi)容如下

內(nèi)容還是比較清晰的,通過分析腳本內(nèi)容堂氯,可以看到病毒是怎么放到本地服務(wù)器的

6 清除病毒

嘗試過各種方式蔑担,目前發(fā)現(xiàn)最有效的方法是將/usr/bin/目錄下的curl文件改名,當(dāng)然這也會影響其他文件的傳輸祖灰,需要時可以再改回來

1)修改服務(wù)器密碼

2)curl改名

? ? ?mv /usr/bin/curl? ?/usr/bin/要改的名字

3)kill掉相關(guān)進(jìn)程

cd /tmp/.X11-unix

4)?刪除挖礦程序相關(guān)文件

? ? cd /root && ls -a

? ? chattr +i /root? 鎖定進(jìn)程所在路徑(解除鎖定chattr -i /root)

? ? 再檢查/opt目錄钟沛,發(fā)現(xiàn)也有一個同root目錄下類似的.sh文件

? ? 刪掉這個文件畔规,然后鎖定/opt目錄局扶,? ?chattr +i /opt?

?檢查下面的目錄

?rm -rf??/var/spool/cron/root

?rm -rf /etc/cron.d/0systemd-private-S*

?rm -rf /var/tmp/systemd-private-*

?rm -rf /tmp/systemd-private*

? 解鎖/root 、/opt目錄

? ?chattr -i /root

? ? chattr -i /opt

最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
  • 序言:七十年代末叁扫,一起剝皮案震驚了整個濱河市三妈,隨后出現(xiàn)的幾起案子,更是在濱河造成了極大的恐慌莫绣,老刑警劉巖畴蒲,帶你破解...
    沈念sama閱讀 222,252評論 6 516
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件,死亡現(xiàn)場離奇詭異对室,居然都是意外死亡模燥,警方通過查閱死者的電腦和手機(jī),發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 94,886評論 3 399
  • 文/潘曉璐 我一進(jìn)店門掩宜,熙熙樓的掌柜王于貴愁眉苦臉地迎上來蔫骂,“玉大人,你說我怎么就攤上這事牺汤×尚” “怎么了?”我有些...
    開封第一講書人閱讀 168,814評論 0 361
  • 文/不壞的土叔 我叫張陵,是天一觀的道長补胚。 經(jīng)常有香客問我码耐,道長,這世上最難降的妖魔是什么溶其? 我笑而不...
    開封第一講書人閱讀 59,869評論 1 299
  • 正文 為了忘掉前任骚腥,我火速辦了婚禮,結(jié)果婚禮上瓶逃,老公的妹妹穿的比我還像新娘桦沉。我一直安慰自己,他們只是感情好金闽,可當(dāng)我...
    茶點(diǎn)故事閱讀 68,888評論 6 398
  • 文/花漫 我一把揭開白布纯露。 她就那樣靜靜地躺著,像睡著了一般代芜。 火紅的嫁衣襯著肌膚如雪埠褪。 梳的紋絲不亂的頭發(fā)上,一...
    開封第一講書人閱讀 52,475評論 1 312
  • 那天挤庇,我揣著相機(jī)與錄音钞速,去河邊找鬼。 笑死嫡秕,一個胖子當(dāng)著我的面吹牛渴语,可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播昆咽,決...
    沈念sama閱讀 41,010評論 3 422
  • 文/蒼蘭香墨 我猛地睜開眼驾凶,長吁一口氣:“原來是場噩夢啊……” “哼!你這毒婦竟也來了掷酗?” 一聲冷哼從身側(cè)響起调违,我...
    開封第一講書人閱讀 39,924評論 0 277
  • 序言:老撾萬榮一對情侶失蹤,失蹤者是張志新(化名)和其女友劉穎泻轰,沒想到半個月后技肩,有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體,經(jīng)...
    沈念sama閱讀 46,469評論 1 319
  • 正文 獨(dú)居荒郊野嶺守林人離奇死亡浮声,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 38,552評論 3 342
  • 正文 我和宋清朗相戀三年虚婿,在試婚紗的時候發(fā)現(xiàn)自己被綠了。 大學(xué)時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片泳挥。...
    茶點(diǎn)故事閱讀 40,680評論 1 353
  • 序言:一個原本活蹦亂跳的男人離奇死亡然痊,死狀恐怖,靈堂內(nèi)的尸體忽然破棺而出羡洁,到底是詐尸還是另有隱情玷过,我是刑警寧澤,帶...
    沈念sama閱讀 36,362評論 5 351
  • 正文 年R本政府宣布,位于F島的核電站辛蚊,受9級特大地震影響粤蝎,放射性物質(zhì)發(fā)生泄漏。R本人自食惡果不足惜袋马,卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 42,037評論 3 335
  • 文/蒙蒙 一初澎、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧虑凛,春花似錦碑宴、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 32,519評論 0 25
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽。三九已至锣披,卻和暖如春贞间,著一層夾襖步出監(jiān)牢的瞬間,已是汗流浹背雹仿。 一陣腳步聲響...
    開封第一講書人閱讀 33,621評論 1 274
  • 我被黑心中介騙來泰國打工增热, 沒想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留,地道東北人胧辽。 一個月前我還...
    沈念sama閱讀 49,099評論 3 378
  • 正文 我出身青樓峻仇,卻偏偏與公主長得像,于是被迫代替她去往敵國和親邑商。 傳聞我的和親對象是個殘疾皇子摄咆,可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 45,691評論 2 361

推薦閱讀更多精彩內(nèi)容