linux记录一次系统被攻击的处理过程

Posted 郑立赛

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了linux记录一次系统被攻击的处理过程相关的知识,希望对你有一定的参考价值。

今天登录zabbix监控网页的时候发现非常卡,登录到系统里面以后,通过top看,CPU已经100%了,有一个叫做httpds的进程占用,第一反映就是系统被入侵了,下面记录了处理过程,仅供各位参考

 

通过top发现CPU占用过高达到100%,是httpds进程占用,正常的apache进程应该是httpd,感觉这个进程异常,

 

通过ps -ef|grep httpds查看,可执行文件在tmp下,这个肯定不正常,决定删除httpds这个文件和进程再看

 

删除以后,发现CPU进程还是很高,说明还有其他进程在后台运行

 

通过ps查看这个进程,发现也在tmp目录下,但是tmp目录下没有这个文件,比较奇怪。

 

暂时不考虑这个文件的问题了,先去查定时任务,肯定有定时任务负责启动这些程序。

查看crontab -e发现没有定时任务

查看

 

这个有一个zabbix的,打开发现

这根本就不是zabbix的任务,果断删除这个文件

删除这几个文件以后,使用kill杀掉这几个进程,发现CPU占用下来了。

计划任务查看以后,再去检查开机启动项。

Vim /etc/rc.local

 

 

怎么会开机启动一个名字为x的程序呢,这个肯定有问题,去tmp下看看这个x是什么东西

 

 

找到罪魁祸首了,就是这个程序启动的httpds服务,那么这个程序是怎么来的呢?暂时想不到,决定去系统看看有没有异常进程

通过top查看系统活跃的进程

 

 

怎么会有一个sh进程呢?我又没有执行脚本,通过ps看一下这个sh在干什么

 

 

不得了,这个sh进程在从一个网站下载一个名字为x的脚本,并赋予777权限然后执行,这里就看出来为什么会有一个x的脚本了,是这个东西在下载,那么这个命令是由谁发起的呢?

既然x程序目录在tmp下,那我们去tmp目录下找找

 

有这么几个程序,依次打开看看

在cmd.n这个程序里有这个

 

看着是sh的命令的启动文件,估计就是这个东西首先引发的。

再用ps -ef查一下所有进程,看看有没有其他异常进程,发现有一个比较奇怪,

 

 

正常情况下,samba的进程应该是nmbd,这个怎么会有一个nmb程序呢?查一下这个进程

 

 

果然不是一个正常程序,也是在tmp下的一个可执行文件,打开是一个二进制的东西,不知道是啥,不管了,先删了再说,删了然后杀掉这几个进程

保险期间,把tmp下所有文件删除。再没有发现其他异常程序了,至此处理完成

 

服务器肯定出现漏洞导致系统被入侵,检查系统日志

/var/log/secure

发现有很多异常登录

163.172.190.5英国的地址,用各种用户名尝试登录

91.197.232.103俄罗斯的地址,用各种用户名尝试登录

51.15.134.37法国的地址,用各种用户名尝试登录

193.70.122.217意大利地址,用各种用户名尝试登录

221.194.47.249河北保定地址,用各种用户名尝试登录

但是出问题时间之前的日志都被删了,目前没办法查起系统是怎么被入侵的。后续还要慢慢查

 

总结此次处理过程,从此次服务器被入侵处理过程总结出来如下处理流程

1,使用whitch查一下系统命令有没有被改:which ls;witch cd;whitch ps等等,防止使用的命令是修改过的。

2,检查异常进程:通过top查看有没有占用cpu很高的,通过ps -ef看有没有名字奇怪的进程。

3,检查计划任务/var/spool/cron目录下,和crontab -e有没有异常计划任务

4,检查开机启动项:vim /etc/rc.local看看有没有异常的开机启动

 

以上是关于linux记录一次系统被攻击的处理过程的主要内容,如果未能解决你的问题,请参考以下文章

阿里云Linux系统被攻击的处理过程

linux服务器被攻击处理过程

记录一次linux服务器被侵入攻击的现象

网站被黑

linux:记录一次 处理tomcat启动卡死无报错现象的曲折过程

Linux服务器后门检测RKHunter及被攻击后处理思路