木马查杀 挖矿木马案件 Linux中毒的现象 服务器带宽异常 系统产生多余不明用户 开机启动不明服务和crontab任务中一些来历不明的任务 服务器CPU 100% 特别卡 远程连接不上

检查步骤

  1. 检查系统日志
  2. 检查系统用户
  3. 检查异常进程
  4. 检查异常系统文件
  5. 检查网络
  6. 检查系统计划任务
  7. 检查系统后门
  8. 检查系统服务
  9. 检查RootKit

案例 挖矿木马案例

1.Redis未授权导致被入侵 2.种了挖矿程序

案例2: Xor DDOS 开发人员设计弱口令导致被种马

last -> W -> top -> netstat -anltp -> /var/log/cron ->发现/etc/cron. hourly/-> crontab -> /lib/udev/udev删除-> crontab -> /boot -> /etc/init.d/ -> /etc/rc.*