Linux 服务器挖矿木马防护实战：快速切断、清理与加固20250114

Linux 服务器挖矿木马防护实战：快速切断、清理与加固

引言

挖矿木马作为一种常见的恶意软件，对服务器资源和安全构成严重威胁。据安全机构统计，2023 年全球约 45%的 Linux 服务器遭受过挖矿木马攻击，平均每台被感染服务器每月造成 300-500 美元的额外电费支出。

本文将围绕三个核心环节，详细讲解应对挖矿木马的完整防护方案：

1. 快速响应：第一时间切断攻击路径
2. 全面清理：系统性清除感染源
3. 系统加固：建立长效防护机制

一、快速响应：切断攻击路径

1.1 网络层面阻断

💡 首要任务是切断攻击者的通信渠道，防止进一步的数据泄露和控制指令。

# 1. 识别可疑连接（常见矿池端口）
netstat -antp | grep -E ":(3333|14444|14433|3357)"

# 2. 阻断攻击IP（注意保存规则防止重启失效）
iptables -A INPUT -s <攻击IP> -j DROP
iptables -A OUTPUT -d <攻击IP> -j DROP
iptables-save > /etc/iptables/rules.v4

1.2 用户权限隔离

🔑 清理受感染账户的访问权限，防止攻击者重新登录。

# 1. 修改用户密码
passwd <用户名>

# 2. 清理SSH密钥（为什么要这样做？防止攻击者留下后门）
find / -name "authorized_keys" -exec rm -f {
   
   } \;

# 3. 限制SSH访问（仅允许特定IP）
echo "sshd: 192.168.1.0/24" >> /etc/hosts.allow
echo "sshd: ALL" >> /etc/hosts.deny

1.3 初步进程清理

⚡ 快速终止可疑进程，为后续深入清理争取时间。

# 自动化清理脚本（初步应急）
cat > /tmp/quick_clean.sh <<'EOF'
#!/bin/bash
# 清理常见挖矿进程
ps aux | grep -i "kswapd0\|kdevtmpfsi\|cryptonight\|minerd" | \
    awk '{print $2}' | xargs -I {} kill -9 {}
# 清理可疑网络连接
netstat -antp | grep -E ":(3333|14444|14433|3357)" | \
    awk '{print $7}' | cut -d'/' -f1 | xargs -I {} kill -9 {}
EOF
bash /tmp/quick_clean.sh

二、全面清理：系统性清除感染源

2.1 深度进程清理

🔍 通过多维度分析，确保不遗漏任何可疑进程。

# 1. CPU异常进程排查
ps aux --sort=-%cpu | head -10

# 2. 可疑进程溯源（进阶技巧）
for pid in $(ps aux | awk '$3>80.0{print $2}'); do
    echo "=== PID $pid ==="
    ls -l /proc/$pid/exe
    ls -l /proc/$pid/cwd
    strings /proc/$pid/cmdline
done

2.2 定时任务清理

⏰ 攻击者常用定时任务实现持久化，必须彻底清理。

# 综合清理脚本
cat > /usr/local/bin/cron_clean.sh <<'EOF'
#!/bin/bash
# 1. 清理用户定时任务
for user in $(cut -f1 -d: /etc/passwd); do
    crontab -u $user -l 2>/dev/null | grep -v "wget\|curl" | crontab -u $user -
done

# 2. 检查系统定时任务
for cronfile in /etc/cron.d/* /etc/crontab /var/spool/cron/*; do
    if [ -f "$cronfile" ]; then
        cp "$cronfile" "$cronfile.bak"
        sed -i '/wget\|curl/d' "$cronfile"
    fi
done
EOF
chmod +x /usr/local/bin/cron_clean.sh

三、多服务器场景应急处理

3.1 通用应急脚本设计

🔄 面对多台服务器同时被攻击的情况，需要自动化工具提高响应效率。
malware_cleanup.sh

#!/bin/bash
# 普通用户清理木马脚本 (最终优化版)
# 功能：彻底清理恶意任务、文件和配置

set -euo pipefail

LOGFILE="$HOME/malware_cleanup_$(date +%Y%m%d%H%M%S).log"

log() {
   
   
  echo "[INFO] $1" | tee -a "$LOGFILE"
}