腾讯云服务器被黑客挂pnscan病毒排查

「爱情、让人受尽委屈。」 2024-04-01 08:32 93阅读 0赞

今日睡醒，突然收到腾讯云的一条信息，点击一看居然提示我服务器在进行违法行为。  
![在这里插入图片描述][2c317bdbc0e444dda6cbc26528092c0d.png]  
作为一名人尽皆知的合法公民，我大吃一惊，当即又睡了过去。  
后来下午的时候才记起来，就上服务器看了下，发现CPU已经超负荷，将近100%，于是先重启重置了密码，重启完后再top还是CPU占50%左右。  
![在这里插入图片描述][1cdb9318a5d94e5ba43d544622f1eb55.png]  
也看不见占用高cpu的进程，于是用htop查看。(未安装的yum install htop即可)  
![在这里插入图片描述][8d99c824db8e446ab9a7d3e7081b0d1b.png]  
依然看不见，最后只能用atop了。(yum install -y atop)  
![在这里插入图片描述][9e590e49e0f24484932bbfc69615a64c.png]  
总算给我抓住了，pnscan病毒无疑了。  
先找下病毒在哪，删除下试试。

> whereis pnscan

![在这里插入图片描述][0e6bcd0368314dec89395d7f69811089.png]

> rm -rf /usr/local/bin/pnscan  
> rm -rf /usr/local/bin/pnscan

发现删除完之后，过一会就又重启了另一个进程。

没办法，安装腾讯云提供的busybox top去查看下进程，因为top可能已经被病毒修改过了，所以看不见病毒进程

> wget https://tao-1257166515.cos.ap-chengdu.myqcloud.com/busybox  
> cp busybox /usr/bin/  
> cd /usr/bin/  
> chmod 777 /usr/bin/busybox  
> busybox top

![在这里插入图片描述][4dbd7ce188bf457980e6eb8a39aa916b.png]  
终于找到了这些罪魁祸首，太狡猾了啊

ps：我中途了解到systemd-journal也是病毒，就删除了，这是删除它之后截的图，所以里面没它。  
![在这里插入图片描述][05e56383e5f84516a56f8e78964f68cd.png]

现在开始专心弄这两个进程即可。

![在这里插入图片描述][ae6e98b671204b089dd664dc84713baf.png]

先删除/usr/share/\[cmake\]试下，再重新看下有没有重启。  
并没有，好，开始解决另一个。  
![在这里插入图片描述][d9c8b2343b6a464189ce2c9905526008.png]  
老规矩，直接删。  
cpu终于回归正常了，同时查看下定时任务  
![在这里插入图片描述][e89c57d26f3c447d92cff3c1c80664c1.png]  
没有定时任务文件，那说明很安全。

最后修改authorized\_keys文件。

> cd ~/.ssh/

去看authorized\_keys文件，发现被添加了病毒公钥，可恶啊

![在这里插入图片描述][3af8dc4278e6448d830e42d670c560a6.png]

一不做二不休，把公钥删了，之后绑定私钥登录。  
![在这里插入图片描述][836b73970cc84c32b0001d3a1fca1cf8.png]

然而并删不掉，被锁定了。  
![在这里插入图片描述][dc69507bac2c4bce8bee6f2ed249992f.png]

> lsattr authorized\_keys

查看当前文件属性，发现是被锁定的，于是解锁

> chattr -ia authorized\_keys

然后就可以删除了。

> "-"就是减去“ia”属性的意思, i：不可修改, a：只追加  
> 同理，也可以使用“+”来给文件赋予这些属性  
> chmod ：用于设置文件的用户权限！共10 位！  
> chattr：这个是文件的属性

ps:如果提示你没有chattr这个命令的话

> yum install e2fsprogs

安装一下，如果提示已安装，那就重安装一下

> yum remove e2fsprogs  
> yum -y install e2fsprogs

最后决定直接用腾讯云的私钥来登录，防止再有人异常登录。  
而且该次被攻击情况，很可能是redis的漏洞，因为昨天刚装完redis，今天就中了黑客的病毒，应该是redis之前修改redis.conf的

> bind 0:0:0:0

导致的漏洞。

[2c317bdbc0e444dda6cbc26528092c0d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/506d1e36063445bc85d3284cbae64a4d.png
[1cdb9318a5d94e5ba43d544622f1eb55.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/9b440da759d04ab693490a32289add79.png
[8d99c824db8e446ab9a7d3e7081b0d1b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/b03fd4457076495db5ef12969fd5b43b.png
[9e590e49e0f24484932bbfc69615a64c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/9292861f256847f68844c9af39cb496b.png
[0e6bcd0368314dec89395d7f69811089.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/5b8fc0aabd0d4629b8c67cb6e5dd540e.png
[4dbd7ce188bf457980e6eb8a39aa916b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/17b1a70e7c4444e3bb1c8374d2303bc6.png
[05e56383e5f84516a56f8e78964f68cd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/2130b76e07de451d8c08df885a229c63.png
[ae6e98b671204b089dd664dc84713baf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/e16bce0dc4fe4b20afba2cca0b5d6216.png
[d9c8b2343b6a464189ce2c9905526008.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/c28a891e8a5745ebbd896d748bad120f.png
[e89c57d26f3c447d92cff3c1c80664c1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/c9797329ebe04c8587d82ff9df484e8a.png
[3af8dc4278e6448d830e42d670c560a6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/4fa12a85007a4e2181207706c8d1ec13.png
[836b73970cc84c32b0001d3a1fca1cf8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/a40524c5d7e94b1e8720f8122db61af8.png
[dc69507bac2c4bce8bee6f2ed249992f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/9c85ff4361a249fdb29c9b6a51a9efa0.png