热门关键字:   网站安全  黑客攻防  安全漏洞  系统安全  网络安全

linux服务器中发现XorDDos木马的方法和清除步骤

发布时间:2018-05-09 10:22文章来源:网络文章作者:秩名 点击次数:
摘要:XorDDos木马现象为,CPU使用超高、网络流量异常、服务器非常卡,清除步骤从进程到启动项目进行排查。...

 1、现象

1)cpu使用超高

2)网络流量异常

3)服务器卡顿

2、表现

1)top命令,一个随机文件在运行,且kill后会生成新的随机文件名再次运行。

\

2)chkconfig --list | grep on

这里还被设置成了开机启动

3、安装clamav扫描并删除感染文件

   <1> yum install -y epel-release

   <2>  yum install clamav-server clamav-data clamav-update clamav-filesystem clamav clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd -y

    freshclam 更新数据库

   <3> 扫描根目录:clamscan -r / --max-dir-recursion=5 -l /root/clamav.log

   <4> 删除感染的文件:cat clamav.log | grep FOUND(rm删除其文件)

4、重装应用并杀死进程

1)还原文件

yum -y reinstall procps lsof iproute net-tools

2)查看进程树

pstree

systemd─┬─AliYunDun───15*[{AliYunDun}]

        ├─AliYunDunUpdate───3*[{AliYunDunUpdate}]

        ├─2*[agetty]

        ├─aliyun-service───6*[{aliyun-service}]

        ├─atd

        ├─auditd───{auditd}

        ├─consul───6*[{consul}]

        ├─crond───crond───freshclam-sleep───sleep

        ├─dbus-daemon

        ├─dockerd-current─┬─docker-containe───6*[{docker-containe}]

        │                 └─8*[{dockerd-current}]

        ├─lvmetad

        ├─nginx───nginx

        ├─ntpd

        ├─polkitd───5*[{polkitd}]

        ├─rsyslogd───2*[{rsyslogd}]

        ├─sshd───sshd───bash───pstree

        ├─systemd-journal

        ├─systemd-logind

        ├─systemd-udevd

        ├─tuned───4*[{tuned}]

        ├─ucfzblbtus───3*[{ucfzblbtus}]

        └─5*[zmsuzppqmm]

3)查看进程位置

ll /proc/23981

dr-xr-xr-x 2 root root 0 May  7 07:57 attr

-rw-r--r-- 1 root root 0 May  7 07:57 autogroup

-r-------- 1 root root 0 May  7 07:57 auxv

-r--r--r-- 1 root root 0 May  7 07:57 cgroup

--w------- 1 root root 0 May  7 07:57 clear_refs

-r--r--r-- 1 root root 0 May  6 22:06 cmdline

-rw-r--r-- 1 root root 0 May  7 07:57 comm

-rw-r--r-- 1 root root 0 May  7 07:57 coredump_filter

-r--r--r-- 1 root root 0 May  7 07:57 cpuset

lrwxrwxrwx 1 root root 0 May  7 07:57 cwd -> /root

-r-------- 1 root root 0 May  7 07:57 environ

lrwxrwxrwx 1 root root 0 May  6 22:06 exe -> /usr/bin/ucfzblbtus

.......

4)关闭进程

pidof /usr/bin/ucfzblbtus | xargs kill -9

5、清理剩余文件

1)删除异常计划任务

    <1> cat /etc/crontab

# Example of job definition:

# .---------------- minute (0 - 59)

# |  .------------- hour (0 - 23)

# |  |  .---------- day of month (1 - 31)

# |  |  |  .------- month (1 - 12) OR jan,feb,mar,apr ...

# |  |  |  |  .---- day of week (0 - 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat

# |  |  |  |  |

# *  *  *  *  * user-name  command to be executed

*/3 * * * * root /etc/cron.hourly/gcc.sh       // 异常任务、删除该行

2)破坏病毒文件

   <1> cat /etc/cron.hourly.sh

#!/bin/sh

PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin

for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done

cp /lib/libudev.so /lib/libudev.so.6

/lib/libudev.so.6

  <2>破坏并删除

  echo etes,tet> /lib/libudev.so

 rm -f /lib/libudev.so /lib/libudev.so.6

3)删除/etc/cron.houtly 目录下所有文件

   <1> cd /etc/cron.hourly/

   <2> rm -fr *

4)关闭开机启动

   <1> chkconfig --list | grep on

   <2> chkconfig --del jesahrtrma

   <3> chkconfig --del nhwtcncubx

标签分类:

上一篇:一次真实的Linux服务器挖矿程序排查案例
下一篇:找出Linux服务器上不该存在恶意或后门文件