这是一个创建于 1377 天前的主题，其中的信息可能已经有所发展或是发生改变。
首先发现服务器 4 核 cpu 爆满，然后找到执行的路径。 木马文件路径如下：
/tmp/.mx
├── a
├── a2
├── cron.d
├── h64
├── run
├── update
├── update2
├── x
├── x2
└── xm64
发现 cron.d 中不断执行* * * * * /tmp/.mx/update >/dev/null 2>&1 和 * * * * * /tmp/.ICE-unix/.init/./sshd -lan 局域网 ip;
通过尝试手动执行 update, 提示信息出了 https://xmrig.com/wizard , 遂知是 xmrig 挖矿木马;
但是/tmp/.ICE-unix/文件下并没有任何文件，所以想知道那个 sshd -lan #IP 到底是干什么的?
至于清理木马，直接把 /tmp/.mx 文件删了，crontab 清理了，kill 掉执行的木马进程即可。
 |
1
touno 2021-01-30 00:07:17 +08:00
所以？重装系统解决百分之九十以上问题~好的！下一个~
|
 |
2
hotsymbol 2021-01-30 01:45:28 +08:00
rm -f **/**
|
 |
3
Les1ie 2021-01-30 10:42:03 +08:00
这个 sshd 可能并不是平时用于 ssh 的 /usr/sbin/sshd，可能是某个恶意进程改了个名字
|
 |
4
eason1874 2021-01-30 15:28:31 +08:00
好奇怎么做到 4 核爆满的，我自己配置，换了好几个系统都只能跑满一半核，16 核只会有 8 个核在跑，换 8 核又只有 4 核在跑，给我浪费了服务器试用时间
|
Select Language