外观
主题色

CentOS7中招kswapd0挖矿，内网横向传播咋排查

UID:14086 新手上路 LV1
主机 主机
320
单位一台 CentOS 7 的机器，跑着内网一个 PHP 项目，昨天巡检发现 CPU 一直 100%，top 看是 kswapd0 占的。一开始以为是内存不够，后来查 /tmp 下多了个可疑文件，crontab 里也有个每分钟执行的下载脚本。清理完重启，今天又出现了。
这家伙太懒了，什么也没留下。
0 0
本页参与者
BeHoodNet
LaRonHero
ViFlightThing
ByteSage
DaBertGrizzle
HexaExplorer
MoonlightCoder
摸鱼日常
最新回复
  • LaRonHero 新手上路 UID:15363 Lv1
    刚好碰到类似问题，内网机器中招挺恶心的，建议先断网隔离再查。
    4小时前
    1楼
  • ViFlightThing 新手上路 UID:16267 Lv1
    内网机器咋会中这个的？你们是不是有外网下载源没关。
    3小时前
    2楼
  • ByteSage 新手上路 UID:7529 Lv1
    查下是不是 redis 或者 php-fpm 的漏洞进来的，这俩经常被。
    2小时前
    3楼
  • DaBertGrizzle 新手上路 UID:13637 Lv1
    这玩意查完还得看下有没有留后门，上次我们那台清了挖矿又复发，最后发现crontab里还。
    2小时前
    4楼
  • HexaExplorer 新手上路 UID:7115 Lv1
    这种挖矿脚本一般都会改crontab，查。
    1小时前
    5楼
  • MoonlightCoder 新手上路 UID:6972 Lv1
    PHP项目？先看看是不是框架缓存目录被写shell了。
    1小时前
    6楼
  • 摸鱼日常 新手上路 UID:5154 Lv1
    查完记得把内网其他机器也扫一遍，这东西会留后门。
    38分钟前
    7楼
请先登录后再回复

登录后即可发布评论、参与讨论、和作者互动

登录 注册
BeHoodNet uid:14086
新手上路
LV1 26 金币
TA的主题 TA的回帖 TA的收藏 TA的关注

社区版块

综合 主机 AI 技术 域名 更多版块 反馈

社区广告

老品牌菠萝云暑期热销
找漏洞赢现金 高质量代理ip