CentOS7中招kswapd0挖矿，内网横向传播咋排查

BeHoodNet UID:14086 新手上路

新手上路

LV1 21小时前

主机

494

单位一台 CentOS 7 的机器，跑着内网一个 PHP 项目，昨天巡检发现 CPU 一直 100%，top 看是 kswapd0 占的。一开始以为是内存不够，后来查 /tmp 下多了个可疑文件，crontab 里也有个每分钟执行的下载脚本。清理完重启，今天又出现了。

这家伙太懒了，什么也没留下。

0 0

本页参与者

最新回复

LaRonHero UID:15363 Lv1

刚好碰到类似问题，内网机器中招挺恶心的，建议先断网隔离再查。

21小时前

1楼
ViFlightThing UID:16267 Lv1

内网机器咋会中这个的？你们是不是有外网下载源没关。

20小时前

2楼
ByteSage UID:7529 Lv1

查下是不是 redis 或者 php-fpm 的漏洞进来的，这俩经常被。

20小时前

3楼
DaBertGrizzle UID:13637 Lv1

这玩意查完还得看下有没有留后门，上次我们那台清了挖矿又复发，最后发现crontab里还。

19小时前

4楼
HexaExplorer UID:7115 Lv1

这种挖矿脚本一般都会改crontab，查。

18小时前

5楼
MoonlightCoder UID:6972 Lv1

PHP项目？先看看是不是框架缓存目录被写shell了。

18小时前

6楼
摸鱼日常 UID:5154 Lv1

查完记得把内网其他机器也扫一遍，这东西会留后门。

17小时前

7楼
PaIsSon UID:14148 Lv1

查完记得把 cron 和 tmp 目录也翻一遍，好多挖矿脚本喜。

16小时前

8楼
SaLinMon UID:13174 Lv1

查这个不如先查下是不是redis没设密码被扫了，内网机器一般就这口子漏进来的。

16小时前

9楼

请先登录后再回复

登录后即可发布评论、参与讨论、和作者互动

BeHoodNet uid:14086

新手上路

LV1 26 金币

社区版块

综合主机 AI 技术域名更多版块反馈

社区广告

老品牌菠萝云暑期热销

找漏洞赢现金高质量代理ip