Linux服务器中木马程序的手动清除方法

由于遇到这种情况，我碰巧阅读了这篇文章，并先将其转载。真的很有用。

首先，按如下方式破坏后门木马：

（当然，这是在冷静下来之后才发现的，当时我感觉就像一个自由的人在喝咖啡）

木马的名字

Linux.BackDoor.Gates.5

首先，在下午14:00左右，有几台服务器的流量很高，通常只有几百M的流量。当时，发现流量在G上。达到此数量的第一感觉是它们受到DDOS流量的攻击。上面有更多服务器，但数量不多。

我把它放在我的眼睛里，我想通过抬头可以得到结果。顺便说一句，为了获得最佳性能，我们的服务器都没有防火墙（包括硬件和iptables），也就是说，服务器一直在裸机运行。这些服务器赤裸裸地运行

几年来一直没有问题。看来Linux服务器的安全性还算令人满意。

一开始我没有任何线索，是ps检查进程，netstat检查端口号，以及iftop检查流量。据估计，这是每个人一开始所做的，并且被宠坏了（这可能是黑客所希望的），显然他们非常了解我

Ha），暂时没有发现异常，但是如果toptop发现我们的服务器已经发送了大量数据包，并且到达某个IP的流量可以达到600M以上，那么我们意识到该服务器是被黑客入侵，但当被视为攻击其他服务器时

但是，攻击性IP一直在变化，就像有人在远程控制它一样。

眨眼间，它几乎没工作了。目前，大约有3台服务器处于这种情况。这时，每个人都总结了自己的理解：

a，/ bin / ps和/ bin / netsta程序的大小均为1.2M，显然已被某人丢弃

b。 /usr/bin/.dbus-daemon--系统进程也有一个点，类似于没有点的点，但毕竟是假的。为什么不删除并替换它？编写此类程序的人似乎具有很强的法律意识，否则该程序会得到推广，并且会死掉

大型中央情报局会放他走吗？

更改了c，/ etc / rc.local的权限，并添加了启动项

D，lsattr和chattr命令已删除

e，该进程被终止并立即再次发生。这很头疼

f。找到一些最近修改的文件。显然，这些都是黑客留下的。

g引导时，将2个启动项添加到自动启动文件中。

开始时，该进程被终止并重新启动，文件被删除并自动生成，并且环境中没有防火墙配置。无奈之下，我不得不想到一个奇怪的把戏，并将其重命名为/ bin / bash，流量却减少了。这种杀死10,000人和自我伤害8,000人的技巧确实很有用。

实际上，目前尚未找到真正的木马，但是已经有时间分析并找到该病毒的来源。这三个中的两个已更改其bash名称，并突然断开连接，因此他们无法登录并必须重新安装系统。 。后来，我慢慢地抬起头来，不是吗？

找到许多，然后将其删除。目前，我心情很好，并准备撰写博客文章进行记录。毕竟，这是在环境中首次遇到木马。

大约22点钟，博客文章写了一半，突然间我失败了。这次有7台服务器发生故障。好心情消失了。原来，那三台服务器只是开场白，是真正的战斗。还没开始。因此，以下博客仍在继续，请调整

如果曲调不同，那就看看吧。

由于在此期间在Internet上检查了一些信息，所以我逐渐熟悉了该木马。这时，我上传了一些普通的二进制程序，例如：ls，netstat，chattr，lsattr，因此我找到了带有自动程序的Trojan Horse程序，对此进行了分析。

下

，这些木马程序的名称以不同的方式进行了更改，但它们是密不可分的。名称写在/etc/rc.d/init.d/DbSecuritySpt和/etc/rc.d/init.d/selinux Inside中，并且该名称与普通服务非常相似。

是/usr/local/zabbix/sbin/zabbix_AgentD、/usr/bin/bsd-port/getty、/usr/bin/dpkgd/ps、/usr/bin/.dbus-daemon--system、/usr /bin/.sshd、/usr/bin/sshd，无论如何都与您的系统类似

进程运行时，它将更改为类似的名称，以使您感到困惑。实际上，它们的大小都与程序相同。

现在是删除这些文件，终止这些进程并说几集。由于某个服务器错过了一些服务器并且没有被删除，因此第二天将其激活。使用上面的命令可以激活这些功能，因此请务必小心。大约凌晨4点

当时，这7台服务器的木马几乎被清理干净了，现在的一般步骤总结如下：

0，只需判断是否有木马

以下文件吗？

cat /etc/rc.d/init.d/selinux

cat /etc/rc.d/init.d/DbSecuritySpt

ls / usr / bin / bsd-port

ls / usr / bin / dpkgd

检查尺寸是否正常

ls -lh / bin / netstat

ls -lh / bin / ps

ls -lh / usr / sbin / lsof

ls -lh / usr / sbin / ss

1，将以下命令上传到/ root

lsattr chattr ps netstat ss lsof

2，删除以下目录和文件

rm -rf / usr / bin / dpkgd（ps netstat lsof ss）

rm -rf / usr / bin / bsd-port（木马程序）

rm -f / usr / local / zabbix / sbin / zabbix_AgentD（木马程序）

rm -f /usr/local/zabbix/sbin/conf.n

rm -f /usr/bin/.sshd

rm -f / usr / bin / sshd

rm -f /root/cmd.n

rm -f /root/conf.n

rm -f / root / IP

rm -f /tmp/gates.lod

rm -f /tmp/moni.lod

rm -f /tmp/notify.file程序

rm -f /tmp/gates.lock进程ID

rm -f /etc/rc.d/init.d/DbSecuritySpt（启动上述木马变种）

rm -f /etc/rc.d/rc 1.d / S97DbSecuritySpt

rm -f /etc/rc.d/rc2.d / S97DbSecuritySpt

rm -f /etc/rc.d/rc3.d / S97DbSecuritySpt

rm -f /etc/rc.d/r.d / S97DbSecuritySpt

rm -f /etc/rc.d/rc5.d / S97DbSecuritySpt

rm -f /etc/rc.d/init.d/selinux（默认为启动/ usr / bin / bsd-port / getty）

rm -f /etc/rc.d/rc 1.d / S99selinux

rm -f /etc/rc.d/rc2.d / S99selinux

rm -f /etc/rc.d/rc3.d / S99selinux

rm -f /etc/rc.d/r.d / S99selinux

rm -f /etc/rc.d/rc5.d / S99selinux

3，找出以下程序的进程号并将其杀死

顶部一眼就看到木马的CPU利用率很高

/ root / ps aux | grep -i jul29（主要是最近启动的进程）

/ root / ps aux | grep -i jul30

/ root / ps aux | grep -i jul31

/ root / ps aux | grep sshd

/ root / ps aux | grep ps

/ root / ps aux | grep盖蒂

/ root / ps aux | grep netstat

/ root / ps aux | grep lsof

/ root / ps aux | grep ss

/ root / ps aux | grep zabbix_Agetntd

/ root / ps aux | grep .dbus

例如：

/ root / ps aux | grep盖蒂

根目录62150.00.0 93636 868？ Ssl 20:54 0:05 / usr / bin / bsd-port / getty

杀死6215

/ root / ps aux | grep zabbix_AgentD

根2558 7 1.00.0 106052 1048？ Ssl 20:54 117：29 ./zabbix_AgentD

杀死2558

/ root / ps aux | grep“ / dpkgd / ps”

根11173 67.80.0 105924 1020？ Ssl 01:39 8:00 / usr / bin / dpkgd / ps -p 11148 -o comm =

杀死11173

请注意，如果您在杀死后将其删除，它将重新出现。这样做（破坏木马程序）

> / usr / bin / dpkgd / ps && / root / chattr + i / usr / bin / dpkgd / ps

> / usr / bin / bsd-port / getty && / root / chattr + i / usr / bin / bsd-port / getty

4。删除Trojan horse命令并重新安装（或复制上传的普通程序）

ps

/ root / chattr -i -a / bin / ps && rm / bin / ps -f

yum重新安装procps -y

或

cp / root / ps / bin

netstat

/ root / chattr -i -a / bin / netstat && rm / bin / netstat -f

yum重新安装net-tools -y

或

cp / root / netstat / bin

lsof

/ root / chattr -i -a / bin / lsof && rm / usr / sbin / lsof -f

yum重新安装lsof -y

或

cp / root / lsof / usr / sbin

chattr && lsattr

yum -y重新安装e2fsprogs

ss

/ root / chattr -i -a / usr / sbin / ss && rm / usr / sbin / ss -f

yum -y重新安装iproute

或

cp / root / ss / usr / sbin

修改以下两个程序的权限，这是偶然发现某些文件更改了这两个程序的权限，因此您发现木马程序既不能下载正常程序也不能杀死进程

/ usr / bin / killall

/ usr / bin / wget

此外，由于担心我们将无法识别某些域名，他们还修改了DNS。他们非常体贴。

cat /etc/resolv.conf

名称服务器8.8.8.8

名称服务器8.[k17]4.4

5，工具扫描

安装防病毒工具

安装

yum -y install clamav *

启动

重新启动服务

更新病毒

新鲜蛤

扫描方法

clamscan -r / etc --max-dir-recursion = 5 -l /root/etcclamav.log

clamscan -r / bin --max-dir-recursion = 5 -l /root/binclamav.log

clamscan -r / usr --max-dir-recursion = 5 -l /root/usrclamav.log

clamscan -r-删除/ usr / bin / bsd-port

clamscan -r-删除/ usr / bin /

clamscan -r-删除/ usr / local / zabbix / sbin

检查日志以查找

/ bin / netstat：Linux.Trojan.Agent FOUND是病毒

grep找到了/root/usrclamav.log

/usr/bin/.sshd：找到Linux.Trojan.Agent

/ usr / sbin / ss：找到Linux.Trojan.Agent

/ usr / sbin / lsof：Linux.Trojan.Agent找到

6，加强人身安全

但是目前尚不知道系统入侵的原因，因此我们只能从两个方面考虑：暴力破解和系统与服务漏洞

a，yum update更新系统（尤其是bash，openssh和openssl）

b。关闭一些不必要的服务

c。设置SSH普通用户登录名，并使用hosts.all，hosts.deny限制登录网段

d。登录系统后记录命令

找到以下操作

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / messages

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / httpd / access_log

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / httpd / error_log

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / xferlog

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / secure

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> /var/log/auth.log

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> /var/log/user.log

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / wtmp

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / lastlog

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / log / btmp

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / run / utmp

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> / var / spool / mail / root

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] echo> ./。bash_history

Jul 31 00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root] rm -rf /root/.bash_history

7月31日00:26:37 CHN-LZ-131记录器：[euid = root] :: [/ root]

7，木马分析

随后，我将木马程序转换为十六进制，然后看了看，发现它只是具有DDOS攻击能力的木马。它没有删除服务器配置，也没有对服务器造成太大损害。该程序的屏幕截图如下：

来源

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-320360-1.html