今天发现服务器变成了挖矿肉鸡

[lianglianglee]

今天登陆服务器，发现 CPU 一直 100%，发现 /var/tmp/bbb/bbb 占用了 99+的 CPU 。
kill 后，等 20 秒又启动了。

排查 corn

有三个任务在相互关联启动。

1. 启动 bbb 的一个
2. 一个启动 cron 的
3. 一个 download cron 任务的。 这个设计厉害了

清理肉鸡程序

1. 清除 cron

   文件被保护，删不掉，用 chattr -ia 去掉保护，依然无法删除，有点棘手哦 直接删除 job 内容

2. 删除 bbb

文件同样被保护

把入侵的入口清理一下

1. 清除 ssh 免密的私钥
2. 改 ssh 端口

又一个智障操作 端口改掉后，防火墙没改，连上了，艹。
又用阿里云的救援连接，开了防火墙

最后发现阿里云的网站提供的远程连接只支持 22 端口。改了端口无法用他们的网站连接服务器了，这。。。不是让人攻击吗？

[opengps]

这情况其实挺常见的，至于渗透入口，分析不彻底没法下结论，毕竟进入一个房间并不一定只有门可以走，可能是窗户，可能是管道

你从阿里云网站后台使用 VNC 登录，效果等同于物理机连接显示器不需要使用 22 端口的，而不是使用哪个远程工具去远程连接，那样必然会经过防火墙被你的修改给拦住

[cy476571989]

阿里云有对服务器的监控服务，可以设定报警规则：一旦 cpu 一段时间跑满 一定比例，比如：50% 就触发报警，它会提供短信通知，可以尝试一下。

[tulongtou]

好奇这是怎么攻进去的呢

[Oceanhime]

感觉问题不一定出在 SSH, 还有可能是业务相关漏洞。
不过利用漏洞的话, 没有运行 worldpress 之类的常见程序的话应该是针对性的攻击了

[nosmile]

你找找有没有什么服务是弱口令或者默认配置，再看看你 ssh 是不是弱口令，最后用啊 D 查一下有没有 webshell 、查一下 web 日志等

[lianglianglee]

@tulongtou 大概看了一下，说是 redis 的漏洞导致的，我前段时间使用了 redis on docker 也许是那个时候进去的

[lianglianglee]

@opengps 现在把端口能关的都关了，前段时间做测试，开了非常多的端口

[lianglianglee]

@Oceanhime 可能是 docker ？我最近因为在搞 docker，开了 docker 的 tcp

[renmu123]

MongoDB 和 Redis 开启公网访问默认都没有密码，其实建议还是直接重装系统，你知道在系统哪里还藏着奇怪的代码

[lianglianglee]

现在可疑的比较多，redis，docker socket，ssh 都有可能，现在把这些能关的都关了，不能关的改了端口，观察一段时间看看

[lianglianglee]

@cy476571989 我这个是做各种玩具项目胡搞用的，没必要开告警

[lianglianglee]

@renmu123 这些都有可能，已经关闭了，再观察两天

[hzqim]

安装 fail2ban，禁止 root 登陆。

[realpg]

我猜你是 CENTOS

[lianglianglee]

@realpg 啧啧啧，大部分都是 centos 吧

[lianglianglee]

@hzqim 让我搜搜是个啥

[Oceanhime]

@lianglianglee #10 做测试也不一定非要对外网暴露端口, 用代理连进内网就行。

[Jirajine]

redis 默认无密码加上 docker 端口映射暴露出导致被黑的光在本站就看到好多次了。

[chipuheado]

一开始架设的时候就要做好防护。
装 DenyHosts，Fail2Ban
禁用 root 登录
设置无密码登录
修改 ssh 端口(阿里云不让改就搬家吧……)