分类：服务器

清除wnTKYg木马 –高占用cpu

今天偶然发现服务器cpu占用率一直是90%，top查看了发现是一个名为wnTKYg的进程。

网上查找说是一个挖矿木马，清理之后做个记录。

尝试pkill -9 wnTKYg杀死进程，发现没过多久又出现了

中毒原因应该是redis没有设密码或者是弱口令，先关了redis防止再次中招

systemctl stop redis

接下来

  • 杀死占用内存大的程序

杀进程：

pkill -9 wnTKYg

pkill -9 ddg.1009

  • 然后根据查看到的程序路径，进入目录内，将目录里的文件删除

如果/root/.ssh/下有异常文件或记录：rm -rf /root/.ssh/*

查找wnTKYg进程目录：find / -name wnTKYg*

删除wnTKYg进程文件：rm -rf /tmp/wnTKYg

查找wnTKYg守护进程目录：ps -aux|grep ddg

删除wnTKYg守护进程文件，文件后缀可能不同：rm -rf /tmp/ddg.1009

删除可疑文件：

rm -rf /tmp/Aegis-\<Guid5A2C30A2−A87D−490A−9281−6765EDAD7CBA\>

rm -rf /usr/local/aegis/Aegis-\<Guid5A2C30A2−A87D−490A−9281−6765EDAD7CBA\>

删除wnTKYg定时任务：rm -rf /var/spool/cron

检查是否存在残留文件并清理…

 

  • 之后检查开机自动启动或者定时任务里是否有不正常自启动和定时任务
    我中的病毒是写在定时任务的一个任务。指向一个网站自动下载一个脚本。

ps x 或 top 查看是否还有木马进程

到此应该已经清理完毕

问题总结
这样的病毒是直接远程连接redis，一般redis都是root安装的，连接redis也就掌握了root权限，它可以往你的定时任务里写内容。
中这样的病毒大多都是因为redis没有设置密码，存在着很大的安全漏洞，所以大家要设置redis密码，并且更改redis的端口。安装时最好别用root安装。

Linux Apache配置

  • 启动、关闭、重启
[root@localhost lampstack]# apache2/bin/apachectl start
[root@localhost lampstack]# apache2/bin/apachectl stop
[root@localhost lampstack]# apache2/bin/apachectl restart
  • Apache设置为Linux系统服务，并开机启动

1.将链接apachectl 复制到系统启动目录下并命名为httpd

[root@localhost lampstack]# cp /opt/lampstack/apache2/bin/apachectl /etc/rc.d/init.d/httpd

到此，其实已经可以使用service httpd start等命令，但在Linux服务列表还没有注册

2.使用chkconfig来注册apache服务，并其可以在linux的服务列表中看到（chkconfig –list）

a.在init.d的httpd链接文件中第2行添加如下注释，并保存退出

[root@localhost lampstack]#  vim /etc/rc.d/init.d/httpd
#!/bin/sh
# chkconfig:35 61 61
# description:Apache

意义如下 35：在3级别和5级别（级别见文末TIPS）启动httpd 61：启动顺序为61号，S61 61：关闭顺序为61号，K61 当进行chkconfig –add httpd操作时，如果没有指定level那么就会来这个注释中取值

b.将httpd配置自启并加入linux服务监控

[root@localhost lampstack]# chkconfig --add httpd

此时，就可以在rc.d下的相应的3和5目录下看到S61httpd，并在0、1、2、4、6目录看到K61httpd了

3.这是2步的手动设置方式，不想看可以跳过。可以手动设置自启动：将链接apachectl放一份软链接到rc3.d目录下(和/或rc*.d目录下)

[root@localhost lampstack]# ln -s /etc/rc.d/init.d/httpd /etc/rc.d/rc3.d/S61httpd

 

  • TIPS:

1. chkconfig有0-6总共7个等级：

0：表示关机
1：单用户模式
2：无网络连接的多用户命令行模式
3：有网络连接的多用户命令行模式
4：不可用
5：带图形界面的多用户模式
6：重新启动