服务器被劫持/被用作比特币矿工-我该如何阻止这种情况？

Question 1

我首先使用 iptables 阻止与外部地址的连接

iptables -A OUTPUT -d IP_Address -j DROP

一旦您确定所有 IP 地址都被阻止，请保存 iptables：# /sbin/service iptables save然后清理劫持者放置的文件。

您可能需要查看/etc/var/log/messages劫机者/etc/var/log/secure是否留下任何条目，这些条目可能表明他/她如何在您的服务器上站稳脚跟。

如果您正在运行网站，请确保您没有任何允许用户上传文件（如 PHP shell）的网页。

这应该可以帮助您入门。您还可以要求托管服务提供商执行防病毒扫描，以查找允许访问的任何脚本/文件。

Answer

我首先使用 iptables 阻止与外部地址的连接

iptables -A OUTPUT -d IP_Address -j DROP

一旦您确定所有 IP 地址都被阻止，请保存 iptables：# /sbin/service iptables save然后清理劫持者放置的文件。

您可能需要查看/etc/var/log/messages劫机者/etc/var/log/secure是否留下任何条目，这些条目可能表明他/她如何在您的服务器上站稳脚跟。

如果您正在运行网站，请确保您没有任何允许用户上传文件（如 PHP shell）的网页。

这应该可以帮助您入门。您还可以要求托管服务提供商执行防病毒扫描，以查找允许访问的任何脚本/文件。

Question 2

您的机器人矿工没有连接，所以它会不断地重新运行漏洞并一遍又一遍地下载矿工。

我们最近看到了一次看起来相关的、利用不良 cgi-bin 设置的尝试。

它正在尝试下载

74.208.228.113 / a

并将其作为 shell 脚本执行。

我们查看该脚本时，发现它做了几件事，它删除了 crontab 条目，并尝试运行从

74.208.228.113 / update

它还将相同的脚本放在 /etc/cron.hourly 中

该脚本执行“ps x”并查找成功的矿工连接。如果没有找到，它会再次下载脚本并重新运行。

在脚本的最后，它抓取

74.208.228.113 / clamav

和

74.208.228.113 / sh

看起来是不同编译版本的 minerd。它将 clamav 重命名为 bash，然后在 216.230.103.42 启动两个挖矿。

因此，如果您受到类似方式的利用，您需要：

那些更新条目占用了带宽。crontab 每分钟运行一次。

不过，我认为更好的答案是从轨道上摧毁它。如果你的 cgi-bin 设置为允许运行脚本的远程攻击，那么就没有保证了

Answer