ubuntu 系统被黑，求助

[evenno]

8345 root 20 0 51008 1192 204 S 399 0.0 81:40.58 cevkzoveqf 发现这个进程占用系统 cpu ， 399%， kill 掉过一会又会跑起来 通过 proc 下，找到了自动运行这个进程的脚本 这个脚本在 /boot/下 我把脚本删除，过会又会生成另一个脚本，继续跑这个进程来占用服务器的资源 我在 crontab 下也没找到任何跑这个脚本的任务

有什么办法可以查到这个脚本会删掉又继续出现的原因吗

[znoodl]

应该是有其他进程，你看下是哪个程序生成的脚本， lsof ，不过被入侵了还是重装下比较好

[Pastsong]

重装下吧，这种只要有一个脚本没清干净都很麻烦

[22too]

既然程序 root 权限都有了，你还是重新安装一下吧

[HanningWu]

betacat. 还是不要管的好，小心性命之忧（手动滑稽）

[evenno]

谢谢各位，还是重装吧，估计后门太多

[yanwen]

我有个思路。不知道对不对。。

先用 ufw 禁止掉所有的端口，然后开放一个特殊的端口让自己访问就好。 然后再传一个 scp 的执行文件上去，进行文件备份。备份好重装系统。。

[kaneg]

检查下在 /etc/rc.local 之类启动就执行的脚本中有无可疑脚本，有则清除，然后重启。
不过如果系统文件都被替换过就很难恢复了。

[SlipStupig]

chrootkit 看一下能不能看到什么异常

[realpg]

赶紧重装吧……
看楼主描述，没有专业熟悉 linux 底层的 devops ，各种 rootkit 你找得全？

[fcicq]

拆硬盘在正常的系统里备份, 原系统不要再给启动的机会了.

[sefemp]

我的 aliyun 和 lz 出现了相同的问题
进程名是一串随机字符串， kill 了又会起来
cpu 占满，不停发包。。。

[aksoft]

被当 J 了

[KKKKKK]

rm -rf /
然后重启 解决一切问题

[Balthild]

@KKKKKK 真机 rm -rf /之后就会开不了机的， BIOS 会损坏掉

[Ansen]

@Balthild 这不对吧 顶多是 Boot 分区挂了，主板上的 BIOS 不会有事的 ……

[hjc4869]

@Ansen rm -rf /sys/firmware/efi/ 会导致某些主板的固件被删除，无法开机。

[Ansen]

@hjc4869 我还是没有明白， rm -rf 是删除硬盘上的文件，主板固件应该在主板上的，是不会放到硬盘里面的吧？没听说哪家主板把固件放硬盘里面呀

[hjc4869]

@Ansen UNIX 思想，一切皆文件。 rm -rf /是删除文件而不是删除硬盘上的文件，你用 df 命令可以看到这些文件分别来自哪里，并不都是硬盘的。

[Mireas]

我的服务器最近也无故占用爆表，我的 root 密码就三个数字....看来要加强防御...

[ixinshang]

最近三个服务器有发包异常，现在全部限制端口流量了，这个月用完，不用了，新机器采用密匙验证，防火墙， f2b ！ 不知道还需要强化些啥！ 请前辈们指导！