解决centos服务器遭黑客安装挖矿木马导致kswapd0进程使用的cpu过高问题

Love The Way You Lie 2022-11-06 03:00 26阅读 0赞

### 文章目录 ###

*  简介
 *  1.查看kswapd0进程使用的PID
 *  2.查看进程的工作空间
 *  3.切换到木马程序目录并删除
 *  4.清理定时任务
 *  5.查看所有用户的定时任务
 *  6.杀掉kswapd0进程
 *  7.修改服务器密码
 *  8.总结

# 简介 #

最近发现服务器特别卡,然后发现kswapd0占用的cpu高达800%,上网科普下kswapd0进程，kswapd0占用CPU时, 说明机器的全部内存(物理内存+虚拟内存)已经用尽了,机器不得不把内存里的内容卸载到硬盘, 然后才能加载所要的程序  
但是我查看下top发现服务器的内存还有10个G没使用,查阅一些文档发现应该是被黑客安装木马了

# 1.查看kswapd0进程使用的PID #

top查看kswapd0进程的Pid,例如下面的13955

top

![在这里插入图片描述][20210307205810959.png]

# 2.查看进程的工作空间 #

ps -ef | grep kswapd0

执行完后可以看到进程的pid,由于我这上来就直接把进程给干掉了，所以没有截图,我用rsync的代替吧,道理一样的  
![在这里插入图片描述][20210307205911758.png]

# 3.切换到木马程序目录并删除 #

cd /tmp/.X25-unix
    ls

木马程序文件如下图  
![在这里插入图片描述][20210307205932989.png]

执行递归删除目录(需要谨慎确定好病毒的目录再使用 **rm -rf**命令)

rm -rf /tmp/.X25-unix

# 4.清理定时任务 #

因为这个进程我杀掉之后没过多久又启动了,就知道应该有定时任务在重启

#查看定时任务
    crontab -l

![在这里插入图片描述][20210307210248866.png]

可以看到定时任务除了 /tmp/.X25-unix 目录外,还有一个目录很醒目,那就是 /root/.configrc

#查看目录
    ls /root/.configrc

![在这里插入图片描述][20210307210414795.png]

#删除目录文件
    rm -rf /root/.configrc
    #清理定时任务
    corntab -e
    #把和木马文件相关的定时任务全清理掉

# 5.查看所有用户的定时任务 #

我之前清理的就是root用户的任务,但是过了几天发现kswapd0进程又自己启动起来了,排查root定时任务没有问题,然后继续排查别的用户的定时任务文件,发现了centos定时任务也有木马文件相关的目录

cd /var/spool/cron
    ls

![20210307210453705.png][]

vi centos

如果发现了和之前root定时任务相似的木马目录,也清理下

rm -rf /home/centos/.configrc

# 6.杀掉kswapd0进程 #

最好把木马程序和定时任务都清理完了再杀掉,要不然还会自动重启

#kill -9 kswapd0进程的PID
    kill -9 13955

# 7.修改服务器密码 #

# 我用的root登录,所以使用passwd修改的是root的密码
    passwd 
    # 如果别的用户也被黑了,记得也修改下密码
    passwd centos

# 8.总结 #

*  就是跟着进程找找目录，然后杀进程，清目录，清定时任务
 *  服务器的ftp端口最好别用22,密码尽量设置复杂点
 *  尽量用密钥连接服务器，禁用账号密码连接
 *  封闭不使用的端口，做到用一个开一个（通过防火墙和安全组策略）
 *  密码增强复杂性
 *  及时修补系统和软件漏洞

参考文章: [https://www.pianshen.com/article/12191662815/][https_www.pianshen.com_article_12191662815]

[20210307205810959.png]: /images/20221023/c0c80b37139e495d838b66e6dd19976b.png
[20210307205911758.png]: /images/20221023/0a0366dd9fd7477ea5c2f9fc2a981a32.png
[20210307205932989.png]: /images/20221023/acbb50f4ebf44052ac6a0ec039c858ed.png
[20210307210248866.png]: /images/20221023/6ce33dbd7b564521a45c955242b20481.png
[20210307210414795.png]: /images/20221023/539a421ba77c4a4a9dd6f2ab73f33259.png
[20210307210453705.png]: /images/20221023/d4aa066e53544425a4eefe552cc152cc.png
[https_www.pianshen.com_article_12191662815]: https://www.pianshen.com/article/12191662815/