近機(jī)器被挖礦程序占領(lǐng)，機(jī)器響應(yīng)很慢性芬，記錄一下如何清理挖礦程序
1 執(zhí)行top命令曹宴， 找到挖礦程序的進(jìn)程號
2 執(zhí)行命令，查看實(shí)際運(yùn)行的程序
? ?ls -l? ?/proc/進(jìn)程號/exe?
可以看到程序啟動后往弓，腳本就被刪除了
3 查看進(jìn)程的由來
lsof -p 進(jìn)程號，可以看到源頭是從/tmp下的子目錄來的蓄氧，是從一個119.205.235.58上獲取木馬代碼
4 查看并刪除定時任務(wù)
crontab -l? ?//查看定時任務(wù)
crontab -r? //刪除定時
在/root目錄下發(fā)現(xiàn)腳本文件函似，開始處理
5 查看.systemd**.sh文件
首先修改.systemd**.sh文件的權(quán)限為不可執(zhí)行
chmod 000 .system**.sh
cat .systemd**.sh文件，會發(fā)現(xiàn)代碼用了base64編碼喉童，可以使用bejson.com解碼看內(nèi)容撇寞，解碼后內(nèi)容如下
內(nèi)容還是比較清晰的，通過分析腳本內(nèi)容堂氯，可以看到病毒是怎么放到本地服務(wù)器的
6 清除病毒
嘗試過各種方式蔑担，目前發(fā)現(xiàn)最有效的方法是將/usr/bin/目錄下的curl文件改名，當(dāng)然這也會影響其他文件的傳輸祖灰，需要時可以再改回來
1）修改服務(wù)器密碼
2）curl改名
? ? ?mv /usr/bin/curl? ?/usr/bin/要改的名字
3）kill掉相關(guān)進(jìn)程
cd /tmp/.X11-unix
4)?刪除挖礦程序相關(guān)文件
? ? cd /root && ls -a
? ? chattr +i /root? 鎖定進(jìn)程所在路徑（解除鎖定chattr -i /root）
? ? 再檢查/opt目錄钟沛，發(fā)現(xiàn)也有一個同root目錄下類似的.sh文件
? ? 刪掉這個文件畔规，然后鎖定/opt目錄局扶，? ?chattr +i /opt?
?檢查下面的目錄
?rm -rf??/var/spool/cron/root
?rm -rf /etc/cron.d/0systemd-private-S*
?rm -rf /var/tmp/systemd-private-*
?rm -rf /tmp/systemd-private*
? 解鎖/root 、/opt目錄
? ?chattr -i /root
? ? chattr -i /opt
