CentOS6.4下一次頑固病毒的排查與處理

標籤：centos   linux   頑固病毒程式   10個隨機英文字母   

病毒發現：在監控屏上發現DMZ區的流量突然達到900M，導致DMZ去的訪問速率延緩，通過向下聯口排查，最終把目標鎖定在教務處的一台伺服器。在該伺服器上安裝的是CentOS6.4,向外提供web服務。

病毒碼：該台伺服器有許多陌生的進程在以root身份運行，連續不斷的向外發送請求，消耗了大量的CPU資源和網路頻寬，導致正常訪問該伺服器的請求得不到回應。

病毒定位：首先我通過top命令看到這些異常進程的名字有一定的規律性，它們每個都是由10個隨機英文小寫字母組成。每當我使用kill把這些進程殺掉之後，其它進程又會立即運行起來，而且越來越多。

我通過which命令查看了一下這些進程的位置，想把執行這些進程的程式刪除掉，但最後失敗了，因為當我刪掉之後不久它們又重建了。

我查看了一下計劃任務裡邊的內容(也就是檔案/etc/crontab)，終於有了重大發現，我發現了下面這一行內容

*/3 * * * * root /etc/cron.hourly/gcc.sh

這樣系統會每隔三分鐘就執行一次指令碼。不僅如此，我還發現總共有五行任務，和上面的內容一模一樣，這便意味著系統每隔三分鐘便會同時執行這一任務五次，這樣便會有一次特別繁忙的時期。

我又檢查了一下開機自啟的檔案(/etc/init.d/目錄下)，發現每有許多陌生檔案，檔案名稱都是由10個隨機英文小寫字母組成。而且在/etc/rc.d/目錄的子目錄rc0.d/等目錄下有許多串連檔案，指向了/etc/init.d/目錄下的異常自啟檔案。

病毒執行：在每次開機時異常檔案都會自動運行，並且會在/etc/crontab檔案裡追加任務和在/etc/cron.hourly/目錄下產生gcc.sh檔案。即便我用kill把病毒進程給殺掉，但是每隔三分鐘這些病毒進程便會重新運行。

病毒清理：

第一步：刪掉/etc/crontab檔案中的內容，在刪除/etc/cron.hourly/gcc.sh檔案，這樣病毒程式便不會每隔3分鐘就運行。為防止萬一，我們還可以給檔案/etc/crontab和目錄/etc/cron.hourly/添加隱藏屬性i(chmod +i filename),這樣兩個檔案便不會被輕易修改。

第二步：刪掉病毒進程(kill -9 pid)

第三步：在目錄/bin/和/usr/bin/下刪除病毒程式檔案(可以參照檔案名稱，即10個隨機英文字母)。

第四步：刪除自啟檔案。在目錄/etc/init.d/下刪除所有的異常自啟檔案(可以參照檔案名稱，即10個隨機英文字母)，刪除/etc/rc.d/目錄的子目錄下連結到/etc/init.d/目錄下的病毒檔案。

第五步：把檔案/etc/crontab和目錄/etc/cron.hourly/的隱藏屬性去掉(chmod -i filename)。完成後重啟伺服器。

小結：相關檔案錄

      /etc/init.d/ /etc/rc.d/ /etc/crontab /etc/cron.hourly/

    相關命令工具

      top which  kill chmod  rm

本文出自 “jltx_lgq” 部落格，謝絕轉載！

CentOS6.4下一次頑固病毒的排查與處理