1.發(fā)現(xiàn)異常進(jìn)程，立即禁止凍結(jié)。
如果禁止后會自動重啟，則需要判斷crontab等來找到進(jìn)程重啟的原因，如果有cron項目惡意重啟進(jìn)程，先要對cron進(jìn)行清理。如果，是進(jìn)程有自啟動機(jī)制保護(hù)進(jìn)程被殺后重啟的話，此時可暫時凍結(jié)異常進(jìn)程(注意不是停止)。
發(fā)現(xiàn)一個惡意進(jìn)程后通過 ls –al /proc/Pid (Pid為具體的進(jìn)程號)，發(fā)現(xiàn)進(jìn)程的啟動路徑，啟動的文件所在目錄等信息。kill -STOP Pid 可以暫時凍結(jié)pid的進(jìn)程，這時此進(jìn)程將不能正常工作，不能占用系統(tǒng)資源，不往外發(fā)包。，被凍結(jié)的進(jìn)程可以通過ps aux|grep –T來查到，此后如果需要可通過 skill -CONT Pid恢復(fù)進(jìn)程。
2.如果發(fā)現(xiàn)異常連接數(shù)，通過iptables封禁相關(guān)端口或者ip。
查看網(wǎng)站訪問日志，分析異常訪問，對異常訪問ip進(jìn)行處理，對異常訪問的文件進(jìn)行處理。
3.清理移動木馬，殺掉進(jìn)程。
首先清理掉木馬創(chuàng)建的cron 計劃項和主要是/etc/crontab文件，和cron.d/ cron.daily/ cron.deny cron.hourly/ cron.monthly/ cron.weekly/等目錄下的惡意計劃項目；/etc/init.d/下的惡意啟動項以及rcN目錄下的啟動項。記錄下這些項目的內(nèi)容涉及到的文件，然后全部清理到，注意截圖保留相應(yīng)的證據(jù)(文件時間簽，文件內(nèi)容等的截圖)。
其次，根據(jù)ls -al /etc/proc/Pid/ 找的惡意木馬文件，以及上一步的計劃項和啟動項目中涉及所有木馬文件。所有進(jìn)程項目的進(jìn)程ID：惡意進(jìn)程的執(zhí)行目錄和文件
最后用一條命令 kill -9 所有的進(jìn)程ID && rm -rf 所有涉及的文件和目錄。然后觀察服務(wù)器安全情況，如果有問題立馬重復(fù)以上步驟。
清理所有木馬即可，沒有必要格盤重裝系統(tǒng)。而且很多時候業(yè)務(wù)不允許你有時間有資源下線重裝。
Copyright 2003-2022 安徽炎黃網(wǎng)絡(luò)科技有限公司 All Rights Reserved 炎黃網(wǎng)絡(luò)
版權(quán)所有
《中華人民共和國電信與信息服務(wù)業(yè)務(wù)經(jīng)營許可證》[ 皖B1.B2-20070016-1]
皖公網(wǎng)安備：34019202000382
聯(lián)系地址：合肥市高新區(qū)天智路5號同創(chuàng)科技園1號樓17層
24小時售后服務(wù)電話：0551-63670030
