服务器病毒检查

起因

最近服务器运行半小时左右就会完全卡死，ssh都无法登录，起初以为是服务太多导致，后来关掉服务发现使用内存还在一直上涨感觉不对劲，开始排除问题

检查流程

参考文章 Linux系统是否被植入木马的排查流程梳理-腾讯云开发者社区-腾讯云

• 检查系统日志

检查系统错误登陆日志，统计IP重试次数（last命令是查看系统登陆日志，比如系统被reboot或登陆情况）
[root@VM-20-9-debian ~]# last

• 检查系统用户

查看是否有异常的系统用户
[root@VM-20-9-debian ~]# cat /etc/passwd 查看是否产生了新用户，UID和GID为0的用户
[root@VM-20-9-debian ~]# grep "0" /etc/passwd 查看passwd的修改时间，判断是否在不知的情况下添加用户
[root@VM-20-9-debian ~]# ls -l /etc/passwd 查看是否存在特权用户
[root@VM-20-9-debian ~]# awk -F: '$3==0 {print $1}' /etc/passwd 查看是否存在空口令帐户
[root@VM-20-9-debian ~]# awk -F: 'length($2)==0 {print $1}' /etc/shadow

• 检查异常进程

注意UID为0的进程 使用ps -ef命令查看进程 察看该进程所打开的端口和文件
[root@VM-20-9-debian ~]# lsof -p pid命令查看 检查隐藏进程
[root@VM-20-9-debian ~]# ps -ef | awk '{print }' | sort -n | uniq >1
[root@VM-20-9-debian ~]# ls /porc |sort -n|uniq >2
[root@VM-20-9-debian ~]# diff 1 2

• 检查异常系统文件

[root@VM-20-9-debian ~]# find / -uid 0 –perm -4000 –print
[root@VM-20-9-debian ~]# find / -size +10000k –print
[root@VM-20-9-debian ~]# find / -name "…" –print
[root@VM-20-9-debian ~]# find / -name ".." –print
[root@VM-20-9-debian ~]# find / -name "." –print
[root@VM-20-9-debian ~]# find / -name " " –print

• 检查系统文件完整性

[root@VM-20-9-debian ~]# rpm –qf /bin/ls
[root@VM-20-9-debian ~]# rpm -qf /bin/login
[root@VM-20-9-debian ~]# md5sum –b 文件名
[root@VM-20-9-debian ~]# md5sum –t 文件名

• 检查RPM的完整性

[root@VM-20-9-debian ~]# rpm -Va #注意相关的/sbin,/bin,/usr/sbin,/usr/bin 输出格式说明： S – File size differs M – Mode differs (permissions) 5 – MD5 sum differs D – Device number mismatch L – readLink path mismatch U – user ownership differs G – group ownership differs T – modification time differs

• 检查网络

[root@VM-20-9-debian ~]# ip link | grep PROMISC（正常网卡不该在promisc模式，可能存在sniffer）
[root@VM-20-9-debian ~]# lsof –i
[root@VM-20-9-debian ~]# netstat –nap（察看不正常打开的TCP/UDP端口)
[root@VM-20-9-debian ~]# arp –a

• 检查系统计划任务

[root@VM-20-9-debian ~]# crontab –u root –l
[root@VM-20-9-debian ~]# cat /etc/crontab
[root@VM-20-9-debian ~]# ls /etc/cron.*

• 检查系统后门

[root@VM-20-9-debian ~]# cat /etc/crontab
[root@VM-20-9-debian ~]# ls /var/spool/cron/
[root@VM-20-9-debian ~]# cat /etc/rc.d/rc.local
[root@VM-20-9-debian ~]# ls /etc/rc.d
[root@VM-20-9-debian ~]# ls /etc/rc3.d

• 检查系统服务

[root@VM-20-9-debian ~]# chkconfig —list
[root@VM-20-9-debian ~]# rpcinfo -p（查看RPC服务）

• 检查 rootkit

[root@VM-20-9-debian ~]# rkhunter -c
[root@VM-20-9-debian ~]# chkrootkit -q

检查结果

仔细检查后发现应该就是服务器用久了,之前开的服务太多+服务器配置不太够( 2h4g 跑了一堆服务),就把数据备份后重装了,把宝塔换成了 1panel，加上雷池做 WAF,公网端口非必要不开放~