Both SavageXmrig挖矿入侵服务器排查
type
status
date
slug
summary
tags
category
icon
password
契机
叮咚！阿里云提示你，你的服务器正在被攻击！
问题
排查思路
不出意外的话，5分钟后xmrig又被拉起来了，现在我们知道他有守护程序了。
额外收获，发现/etc/systemd/system下有个自启动的service名字和创建时间很可疑
最后防止还有其他守护程序被拉起来，再看看对应时间点有哪些文件增加
发现和我清除的一致，再持续观察一段时间，还有这个人是真的蠢，为什么部署sh还要留下
总结
- 找被黑时间左右的所有文件一个一个排查
- 找文件关联pid
- 找pid关联fd，端口，ip等
- 找相关service，排查异常servcie，定时任务全部停止
- 持续观察cpu，网络等信息
写到最后
Last update: 2024-03-19