三个人一起躁我吃奶头80分钟,三年片大全免费观看,三年片免费观看影视大全满天星,三年成全免费高清大全,三年片免费观看大全有,三年片在线观看大全

這臺機器主要是運行了一個tomcat WEB服務和oracle數(shù)據(jù)庫，問題不應該出現(xiàn)在WEB服務和數(shù)據(jù)庫上面，我檢查了一下WEB日志，沒有發(fā)現(xiàn)異常，查看數(shù)據(jù)庫也都正常，也沒有錯誤日志，查看系統(tǒng)日志，也沒有看到異常，但是系統(tǒng)的登錄日志被清除了，趕緊查看了一下目前運行的進程情況，看看有沒有什么異常的進程，一查看，果然發(fā)現(xiàn)幾個異常進程，不仔細看還真看不出來，這些進程都是不正常的。

這是個什么進程呢，每次ps -ef都不一樣，一直在變動，進程號也一直在變動中，我想看看進程打開了什么文件，一時無從下手，想到這里，我突然意識到這應該都是一些子進程，由一個主進程進行管理，所以看這些子進程是沒有用的，即便我殺掉這些子進程還會有新的生成，擒賊先擒王，我們?nèi)フ乙幌轮鬟M程，我用top 實時查看進程使用資源的情況，看看是不是有異常的進程占用cpu內(nèi)存等資源，發(fā)現(xiàn)了一個奇怪的進程，平時沒有見過。這個應該是我們尋找的木馬主進程。

 

 

我嘗試殺掉這個進程，`killall -9 ueksinzina`，可是殺掉之后ps -ef查看還是有那些子進程，難道沒有殺掉？再次top 查看，發(fā)現(xiàn)有出現(xiàn)了一個其他的主進程，看來殺是殺不掉的，要是那么容易殺掉就不是木馬了。

 

我們看看他到底是什么，”which obgqtvdunq”發(fā)現(xiàn)這個命令在/usr/bin下面，多次殺死之后又重新在/usr/bin目錄下面生成，想到應該有什么程序在監(jiān)聽這個進程的狀態(tài)也可能有什么定時任務，發(fā)現(xiàn)進程死掉再重新執(zhí)行，我就按照目前的思路查看了一下/etc/crontab定時任務以及/etc/init.d啟動腳本，均發(fā)現(xiàn)有問題。

可以看到里面有個定時任務gcc4.sh，這個不是我們設(shè)定的，查看一下內(nèi)容更加奇怪了，這個應該是監(jiān)聽程序死掉后來啟動的，我們這邊把有關(guān)的配置全部刪掉，并且刪掉/lib/libudev4.so。

 

在/etc/init.d/目錄下面也發(fā)現(xiàn)了這個文件。

 

里面的內(nèi)容是開機啟動的信息，這個我們也給刪掉。

 

以上兩個，一個試在開機啟動的時候啟動木馬，另一個是木馬程序被殺掉之后啟動木馬，但是目前我們殺掉木馬的時候木馬并沒有死掉，而是立刻更換名字切換成另一個程序文件運行，所以我們直接殺死是沒有任何用處的，我們目的就是要阻止新的程序文件生成，首先我們?nèi)∠绦虻膱?zhí)行權(quán)限并把程序文件生成的目錄/usr/bin目錄鎖定。

  chmod 000 /usr/bin/obgqtvdunq

  chattr +i /usr/bin

然后我們殺掉進程”killall -9 obgqtvdunq”，然后我們在查看/etc/init.d/目錄，看到他又生成了新的進程，并且目錄變化到了/bin目錄下面，和上面一樣，取消執(zhí)行權(quán)限并把/bin目錄鎖定，不讓他在這里生成，殺掉然后查看他又生成了新的文件，這次他沒有在環(huán)境變量目錄里面，在/tmp里面，我們把/tmp目錄也鎖定，然后結(jié)束掉進程。

 

到此為止，沒有新的木馬進程生成，原理上說是結(jié)束掉了木馬程序，后面的工作就是要清除這些目錄產(chǎn)生的文件，經(jīng)過我尋找，首先清除/etc/init.d目錄下面產(chǎn)生的木馬啟動腳本，然后清除/etc/rc#.d/目錄下面的鏈接文件。

 

后來我查看/etc目錄下面文件的修改時間，發(fā)現(xiàn)ssh目錄下面也有一個新生成的文件，不知道是不是有問題的。

 

清理差不多之后我們就要清理剛才生成的幾個文件了，一個一個目錄清楚，比如”chattr -i /tmp”，然后刪除木馬文件，以此類推刪除/bin、/usr/bin目錄下面的木馬，到此木馬清理完畢。

 

快速清理木馬流程

假設(shè)木馬的名字是nshbsjdy，如果top看不到，可以在/etc/init.d目錄下面查看

1、 首先鎖定三個目錄，不能讓新木馬文件產(chǎn)生

chmod 000 /usr/bin/nshbsjdy

chattr +i /usr/bin

chattr +i /bin

chattr +i /tmp

 

2、刪除定時任務及文件以及開機啟動文件

刪除定時任務及文件

rm -f /etc/init.d/nshbsjdy

rm -f /etc/rc#.d/木馬連接文件

3、殺掉木馬進程

killall -9 nshbsjdy

 

4、清理木馬進程

 

chattr -i /usr/bin

    rm -f /usr/bin/nshbsjdy

 

處理完成之后再一次檢查一下以上各目錄，尤其是/etc目錄下面最新修改的文件。

 

5、如果是rootkit木馬，可以用下面的軟件進行檢查。

 

軟件chkrootkit

軟件RKHunter

安裝都非常簡單，我使用RKHunter簡單檢查了一下，沒有發(fā)現(xiàn)什么重大問題，但是這也并不表示沒有什么問題，因為我們的檢測命令也是依賴一些系統(tǒng)的命令，如果系統(tǒng)的命令被感染那是檢測不出來的，最好是系統(tǒng)的命令備份一份檢查，再不行就備份數(shù)據(jù)重裝嘍。