挖矿程序 --- watchdogs & ksoftirqds （发现研究）

电玩女神 2022-03-18 17:22 202阅读 0赞

2月21号安全事件：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70][]

ssh到这台机器上面后查看进程发现：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 1][]

看了一下用户名:jenkins，之前整的几个挖矿程序也是这个用户名下的，然后看了一下进程情况：

1.  ps -ef | grep jenkins

![20190221154633120.png][]

watchdogs & ksoftirqds这两个进程都在这个用户下。

2. ps -aux | grep jenkins

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 2][]

尽然还有一个外链的问题，而且还看到了一个熟悉的网址：[https://pastebin.com/raw][https_pastebin.com_raw]

这已经不止一次在挖矿处理的时候看到这个网址了，有台机器被bitcoin挖矿的问题也涉及到了这个网址：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 3][]

深度研究查看：

![20190221155928319.png][]

![20190221160049834.png][]

![20190221160132147.png][]

查看重启项涉及的文件 etc/crontab,/etc/ssh/sshd\_config，/var/spool/cron/crontabs/jenkins等目录，发现/var/spool/cron/crontabs/jenkins自启动项如下：

![20190221160428195.png][]

未完待续：[挖矿程序 --- watchdogs & ksoftirqds （解决方案）][--- watchdogs _ ksoftirqds]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70]: /images/20220318/a573ab1cecd24384b47934aa552f8f6b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 1]: /images/20220318/0133e6eb5b134571a5453c56a89d893c.png
[20190221154633120.png]: /images/20220318/33faa7713f97473ab3e3837eb7296f5f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 2]: /images/20220318/315fcd72792a47a7b43f7cfdcedff456.png
[https_pastebin.com_raw]: https://pastebin.com/raw
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 3]: /images/20220318/ac26d2ffcc684933bbb6891202f8a14e.png
[20190221155928319.png]: /images/20220318/a2bdd5b284bd489983bbc19d56e5b305.png
[20190221160049834.png]: /images/20220318/2a69505ce3284dedbd9cc85ea35cacad.png
[20190221160132147.png]: /images/20220318/e46f29ddc9ea40e3b4bcb77d0d0039d4.png
[20190221160428195.png]: /images/20220318/5f78631ae5db43bf8801797b7b5af153.png
[--- watchdogs _ ksoftirqds]: https://blog.csdn.net/m0_37268841/article/details/87863093