ElasticSearch-6.5.3系列遭注入病毒

迈不过友情╰ 2023-06-12 04:13 3阅读 0赞

上次写文档的时候，创建的账号和密码放出来， Kibana也是可使用的，结果很不幸，被某些人开始当成了肉鸡

直接上问题：出现这种莫名其妙的进程，当时内存占用小的可怜\--被攻击中

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70][]

查看此进程的程序是什么：

[root@izwz99z5o9dc90keftqhlrz /]# ll /proc/19967

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 1][]

**第一步：首先kill进程**

[root@izwz99z5o9dc90keftqhlrz /]# kill -9 19967

#三分钟后，再次top
    [root@izwz99z5o9dc90keftqhlrz /]# top
    top - 11:04:42 up 19:42,  2 users,  load average: 8.92, 7.38, 4.51
    Tasks:  85 total,   1 running,  84 sleeping,   0 stopped,   0 zombie
    %Cpu(s): 96.8 us,  3.2 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
    KiB Mem :  1882088 total,   124276 free,  1147740 used,   610072 buff/cache
    KiB Swap:  4194300 total,  3840252 free,   354048 used.   549844 avail Mem 
    
      PID USER      PR  NI    VIRT    RES    SHR S %CPU %MEM     TIME+ COMMAND                                                                                                    
    13751 es        20   0    7468   2548      0 S 96.1  0.1  24:39.08 CasgpY                                                                                                     
      794 influxdb  20   0  398116  32996   3044 S  0.7  1.8   6:39.19 influxd                                                                                                    
     1971 root      20   0  385476   6400   5196 S  0.3  0.3   0:24.46 sdcc                                                                                                       
     1981 root      20   0  817476  25320  10000 S  0.3  1.3  12:58.89 sdsvrd                                                                                                     
     3383 root       0 -20  128344   8496   5656 S  0.3  0.5   7:57.08 AliYunDun                                                                                                  
        1 root      20   0   51728   2556   1620 S  0.0  0.1   0:18.41 systemd                                                                                                    
        2 root      20   0       0      0      0 S  0.0  0.0   0:00.00 kthreadd                                                                                                   
        4 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kworker/0:0H                                                                                               
        6 root      20   0       0      0      0 S  0.0  0.0   0:11.48 ksoftirqd/0                                                                                                
        7 root      rt   0       0      0      0 S  0.0  0.0   0:00.00 migration/0                                                                                                
        8 root      20   0       0      0      0 S  0.0  0.0   0:00.00 rcu_bh                                                                                                     
        9 root      20   0       0      0      0 S  0.0  0.0   0:49.72 rcu_sched                                                                                                  
       10 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 lru-add-drain                                                                                              
       11 root      rt   0       0      0      0 S  0.0  0.0   0:12.34 watchdog/0                                                                                                 
       13 root      20   0       0      0      0 S  0.0  0.0   0:00.00 kdevtmpfs

只能认定是注入了什么病毒，我又没什么杀毒的技术手段。首先上阿里云把所有的漏洞全部处理了

重新安装Elasticsearch 6.5.3，用的是下载版本：

成功后，监视了大概十分钟，我的CPU使用基本没什么问题。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 2][]

结果：henc很诧异，中午吃完饭回来一看又彪起来了。看来得删掉这个用户了【密码修改也被攻破】重新再安装一份ES吧

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 4][]

分享了一下，Linux的进程怎么看问题，同时怎么处理这次事故的简单过程，朋友 如果有更好的处理方式不妨告诉我学习学习哦

[\[linux\] 查看进程PID以及进程详细信息][linux_ _PID]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70]: /images/20230531/d0b540253b2a43c0b1c1559c5a974f07.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 1]: /images/20230531/88aa494c25304030972dc6d90b9f9308.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 2]: /images/20230531/cde80170748d4af1a09efd39a48b729d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 3]: /images/20230531/09cb8dc175094c06bab5714ce285ee5a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lleGlhb21vZGVtbw_size_16_color_FFFFFF_t_70 4]: /images/20230531/0a868f145420425f98a38d5aa3d8778e.png
[linux_ _PID]: https://blog.csdn.net/zongza/article/details/90697569