阿里云被黑客入侵植入挖矿软件并修改了 ssh key

[saixx]

Redis 没设置好被入侵修改了 crontab,现在有一个 khugepaged 的挖矿软件，黑客在我电脑上写入了 ssh key，我已经把服务器关了，现在怎么处理，服务器上有我自己的 hexo 博客，有没有大佬支支招

[realpg]

你一定是用的 centos

[xuejianxianzun]

我有个简单网站也用了 redis，我一开始就设置了密码 ，也修改了端口号，目前没啥问题

[rubytek]

这种都是自动扫端口注入的，如果是企业使用阿里云，一定都要配置安全组策略，限制公网端口开放。个人的你就当吃个教训吧。

[lyi4ng]

如果你只是想保留一下 hexo 的博客，建议直接挂 github 吧省事
如果还想用阿里云的话，就把 hexo 的文件整个备份一下然后重装下云系统
如过你连系统都不想重装就把 ssh key 删了，/etc/passwd 排查一下有没新帐号，redis 加密码，crontab 配置删了，挖矿守护进程杀了(有的话)，挖矿进程杀了，挖矿马删了等等等等

[wfd0807]

用 docker，保护好宿主，容器随便造

[wangyzj]

redis bug 多年前就被干过
挖矿算好的
我那个被勒索
直接关闭主机了

[Mutoo]

Redis 为啥不直接用 rds，要放在 ecs 上。

[swsh007]

被挖矿的路过
不知道咋弄的
拿 htop 看 cpu 占用率发现总是 100%

[virusdefender]

不设置密码
不开安全组
不装安骑士

[v2yooha]

@Rwing 我的 docker 跑 redis，然后几个月前发现被植入了挖矿程序 kdevtmpfsi，他还给我加了几个 crontab

[m4d3bug]

都会用 nginx 了，不能直接用 nginx 反代 gothub 的博客地址么

[coolcoffee]

redis 默认没有 ssl 认证，被中间人窃听或者被爆破都是有可能的。建议只通过内网访问。

外网需要访问简单点可以用 ssh 做隧道映射一下端口，复杂点就用 wireguard 、openvpn 之类的去做。

[Rwing]

@v2yooha 是 host ？还是容器里？

[ladypxy]

Redis 单机用的话为什么不用 socks 连接

[stephCurry]

我都不设置密码，redis 不是默认 本地 127 访问吗，咋还能被入侵

[v2yooha]

@Rwing 容器里面