【linux】记录一次系统被攻击的处理过程
今天登录zabbix监控网页的时候发现非常卡,登录到系统里面以后,通过top看,CPU已经100%了,有一个叫做httpds的进程占用,第一反映就是系统被入侵了,下面记录了处理过程,仅供各位参考
通过top发现CPU占用过高达到100%,是httpds进程占用,正常的apache进程应该是httpd,感觉这个进程异常,
通过ps -ef|grep httpds查看,可执行文件在tmp下,这个肯定不正常,决定删除httpds这个文件和进程再看
删除以后,发现CPU进程还是很高,说明还有其他进程在后台运行
通过ps查看这个进程,发现也在tmp目录下,但是tmp目录下没有这个文件,比较奇怪。
暂时不考虑这个文件的问题了,先去查定时任务,肯定有定时任务负责启动这些程序。
查看crontab -e发现没有定时任务
查看
这个有一个zabbix的,打开发现
这根本就不是zabbix的任务,果断删除这个文件
删除这几个文件以后,使用kill杀掉这几个进程,发现CPU占用下来了。
计划任务查看以后,再去检查开机启动项。
Vim /etc/rc.local
怎么会开机启动一个名字为x的程序呢,这个肯定有问题,去tmp下看看这个x是什么东西
找到罪魁祸首了,就是这个程序启动的httpds服务,那么这个程序是怎么来的呢?暂时想不到,决定去系统看看有没有异常进程
通过top查看系统活跃的进程
怎么会有一个sh进程呢?我又没有执行脚本,通过ps看一下这个sh在干什么
不得了,这个sh进程在从一个网站下载一个名字为x的脚本,并赋予777权限然后执行,这里就看出来为什么会有一个x的脚本了,是这个东西在下载,那么这个命令是由谁发起的呢?
既然x程序目录在tmp下,那我们去tmp目录下找找
有这么几个程序,依次打开看看
在cmd.n这个程序里有这个
看着是sh的命令的启动文件,估计就是这个东西首先引发的。
再用ps -ef查一下所有进程,看看有没有其他异常进程,发现有一个比较奇怪,
正常情况下,samba的进程应该是nmbd,这个怎么会有一个nmb程序呢?查一下这个进程
果然不是一个正常程序,也是在tmp下的一个可执行文件,打开是一个二进制的东西,不知道是啥,不管了,先删了再说,删了然后杀掉这几个进程
保险期间,把tmp下所有文件删除。再没有发现其他异常程序了,至此处理完成
服务器肯定出现漏洞导致系统被入侵,检查系统日志
/var/log/secure
发现有很多异常登录
163.172.190.5英国的地址,用各种用户名尝试登录
91.197.232.103俄罗斯的地址,用各种用户名尝试登录
51.15.134.37法国的地址,用各种用户名尝试登录
193.70.122.217意大利地址,用各种用户名尝试登录
221.194.47.249河北保定地址,用各种用户名尝试登录
但是出问题时间之前的日志都被删了,目前没办法查起系统是怎么被入侵的。后续还要慢慢查
总结此次处理过程,从此次服务器被入侵处理过程总结出来如下处理流程
1,使用whitch查一下系统命令有没有被改:which ls;witch cd;whitch ps等等,防止使用的命令是修改过的。
2,检查异常进程:通过top查看有没有占用cpu很高的,通过ps -ef看有没有名字奇怪的进程。
3,检查计划任务/var/spool/cron目录下,和crontab -e有没有异常计划任务
4,检查开机启动项:vim /etc/rc.local看看有没有异常的开机启动
原创作者:郑立赛
邮箱:zhenglisai@qq.com
欢迎关注我们的公众号获取最新文章:运维自动化开发
![公众号](https://images.cnblogs.com/cnblogs_com/zhenglisai/1973124/o_210510084927search.jpg)
![公众号](https://images.cnblogs.com/cnblogs_com/zhenglisai/1973124/o_210510084934wechat.jpg)