伺服器被劫持/被用作比特幣礦工 - 我該如何阻止這種情況？

Question 1

我首先使用 iptables 來阻止與外部位址的連接

iptables -A OUTPUT -d IP_Address -j DROP

一旦您確定所有 IP 位址都被阻止，請儲存 iptables：# /sbin/service iptables save然後清理劫持者放置的檔案。

您可能想要查看/etc/var/log/messages劫機者/etc/var/log/secure是否留下了任何可能表明他/她如何在您的伺服器上立足的條目。

如果您正在執行網站，請確保您沒有任何允許使用者上傳檔案（例如 PHP shell）的網頁。

這應該可以幫助您開始。您也可以要求您的託管提供者執行防毒掃描，以查找允許存取的任何腳本/檔案。

Answer

我首先使用 iptables 來阻止與外部位址的連接

iptables -A OUTPUT -d IP_Address -j DROP

一旦您確定所有 IP 位址都被阻止，請儲存 iptables：# /sbin/service iptables save然後清理劫持者放置的檔案。

您可能想要查看/etc/var/log/messages劫機者/etc/var/log/secure是否留下了任何可能表明他/她如何在您的伺服器上立足的條目。

如果您正在執行網站，請確保您沒有任何允許使用者上傳檔案（例如 PHP shell）的網頁。

這應該可以幫助您開始。您也可以要求您的託管提供者執行防毒掃描，以查找允許存取的任何腳本/檔案。

Question 2

您的機器人礦工沒有連接，因此它會不斷重新運行漏洞並一遍又一遍地下載礦工。

我們最近看到了對看起來相關的不良 cgi-bin 設定的利用嘗試。

它正在嘗試下載

74.208.228.113 / a

並將其作為 shell 腳本執行。

當我們查看該腳本時，它做了一些事情，它清除了 crontab 條目，並嘗試運行從

74.208.228.113 / update

它還將相同的腳本放置在 /etc/cron.hourly 中

該腳本執行“ps x”和 grep 來成功連接礦工。如果沒有看到它，它會再次下載腳本並重新運行。

在腳本的最後，它抓住了

74.208.228.113 / clamav

和

74.208.228.113 / sh

看起來是不同編譯版的 minerd。它將 clamav 重新命名為 bash，然後在 216.230.103.42 啟動這兩個挖掘。

因此，如果您受到類似方式的剝削，您需要：

正是這些更新條目正在使用頻寬。 crontab 每分鐘運行一次。

然而，我認為更好的答案是從軌道上用核武攻擊它。如果您的 cgi-bin 設定為允許執行腳本的遠端攻擊，則無法保證

Answer