今天所做的努力
都是在为明天积蓄力量

linux服务器被黑挖矿排查记录(unhide可查看隐藏进程)

本文最后更新于2022年4月19日,已超过160天没有更新,如果文章内容失效,请留言反馈给我们,谢谢!

问题现象:服务器负载很高,top和ps 无法查看进程,有异常任务计划但是查不到进程排查困难

排查还在/etc/hosts发现增加了如下异常映射

1

猜测是挖矿,但是没有进程最终核实到是/etc/ld.so.preload 设置了隐藏进程

2

尝试直接删除或编辑此文件无效, 最终尝试echo “”>/etc/ld.so.preload 可以正常输入

然后查看可以查看到具体进程了

3

OK! 能看到进程就方便排查了

此问题排查时主要卡在了隐藏进程无法进一步核实分析,只要处理了隐藏进程就好排查处理了

 

问题延伸: 可以安装unhide查看隐藏进程

安装:

Ubuntu 或者 Debian 发行版:sudo apt-get install unhide

CentOS/RHEL:yum install unhide

执行:unhide proc 查看隐藏进程

还有一种情况unhide也无法查看到隐藏进程,可以使用atop查看


 

参考链接:

linux下隐藏进程的一种方法

如何在 Linux/Unix/Windows 中发现隐藏的进程和端口

赞(0)
未经允许不得转载:如需转载,请标注内容来源流觞 » linux服务器被黑挖矿排查记录(unhide可查看隐藏进程)
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

今天所做的努力都是在为明天积蓄力量

联系我们关于小站