反射Shell > 后门程序 > 挖矿程序 --处理篇之一

我不是女神ヾ 2022-02-21 01:39 271阅读 0赞

时间：2019-4-9 14:00 接到运维的工单

现象：服务器安全报警如下图

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70][]

--------------------

问题追踪：

1. 怕影响到其他机器，所以第一步将该服务器隔离。

注：至于怎么隔离？一般基础云服务商都会提供，前提你已经用了他们的基础安全产品。如果没有的话，只能断网。

2. 远程连接这台机器：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 1][]

a. 进程查看 top命令显示如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 2][]

b. 查看反弹shell的路径下的文件：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 3][]

我看了一下里面的py和shell脚本，我的个神都是一些黑客小脚本。上面运行的python进程小脚本就在这边

c. 回到上级目录Splunk目录发现：splunkd.pid的进程

d.删除Splunkd.pid进程失败：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 4][]

注：在mv命令执行后同时生成splunkd.pid文件。O\_\_O "…

e. 查看Splunkd.pid：

![20190410131008371.png][]

f. 全部都是进程号，可以在上面的Top里面找到对应的进程。 丫丫，这家伙挺狠的，一次这么多进程。。。

[反射Shell > 后门程序 > 挖矿程序 --处理篇之二][Shell _ _ _ _ --]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70]: /images/20220221/c49508e37d0345eea3a7fa0bbbbb2c4a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 1]: /images/20220221/693abc45b6c54407b48d32cf56b7320b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 2]: /images/20220221/bd8ad2207a68485682a6d86e422c8a8a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 3]: /images/20220221/a94f0a0553164788be12ea47d50dd85e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 4]: /images/20220221/cb47f89cda924b8f9f5550ce0594afb2.png
[20190410131008371.png]: /images/20220221/1f5bc7a5e6de42d0a278cef8be1dedbb.png
[Shell _ _ _ _ --]: https://blog.csdn.net/m0_37268841/article/details/89181345