宝塔攻防------木马挖矿xmrig问题处理

手机端接收短信提醒，服务器正遭受挖矿病毒攻击，服务器的cpu和内存占用高，阿里云不断告警

前提：某天腾讯云发来一封邮件来提醒，自己的服务器中木马了。根据邮件中的提示，把疑似木马的程序tsm64拷贝下来，上传到vt上，确认是木马。好了，开始分析它。 一、初步定位恶意程序在系统中的痕迹 首先，通过命令“find / -name “tsm64” “全局搜索这个恶意样本存储在哪个目录，最后在/tmp/.X25-unix/.rsync/c目录下发现了它。浏览整个.rsync目录，发现都是恶意样本相关的文件，于是将其打包下载到本地进行分析。对该目录的子目录和文件进行分析，得到以下信息： 1. tddw

今天早晨登录宝塔面板发现服务器CPU占用率和内存都爆满了，赶紧检查一下服务器的进程使用top命令查看服务器的cpu和内存占用情况。

4.查找find / -name xmrig 文件，或者程序信息 ps -aux | grep xmrig,找到安装目录并将其删除 rm -rf /root/5.删除定时任务 rm -rf /var/spool/cron。6.删除ssh认证信息 rm -rf ./ssh/8.尽量使用内网链接，不要暴露端口号或者外网地址。1.通过top发现xmrig占用了大量cpu。3.尝试直接kill发现杀死之后又会自动重启。7.原因，有可能是redis等程序导致，2.通过网上搜索发现是挖矿木马。

故事的起因于26号下午做渗透测试时，登录跳板机发现CPU进程拉满到200%，qiao哥看了一眼直接说是XMR挖矿，这句话勾引起我的兴趣，由于应急是我的薄弱项也没有时间深入学习，所以有本篇应急分析文章。

在linux服务器上彻底清除xmrig挖矿病毒

宝塔面板服务器CPU占满100%、负载100%的问题；一般来说这种问题的可能性很多，有可能是程序性能、服务器负载能力、并发访问、木马病毒、被植入了挖矿程序等等。初步来说首先考虑使用top查看一下当前的负载情况。 宝塔Windows面板是提升运维效率的服务器管理软件，支持一键WNMP/WAMP/IIS/SQLServer/集群/监控/网站/FTP/数据库/JAVA/PM2等100多项服务器管理功能。当宝塔负载状态100%，CPU占满100%的时候，我们首先需要找到问题的原因，是什么情况导致，程序性能、服务器负

服务器被挖矿，记录一下清除xmrig挖矿病毒的解决过程

现象CPU占用100%，内存占用不大，top命令没有占用CPU很大的进程，有个名称为xmrig，但占用CPU很小 安装unhide软件，并使用unhide proc命令，查找出隐藏进程，查出很多进程 kill 任意一个进程，CPU马上降至个位数，但重启服务器之后，又到100%，猜测被注册为系统服务了 第二步查出很多进程，但是他们的command、执行路径等都一样，一般第一个为主进程 systemctl status 主进程ID，查出是哪个系统服务，kill -9主进程ID，删除服务

本人的轻量服务器没有在运行的应用，纯用来当部署用的公网测试机，突然发现其中一颗CPU核心使用率已经到100。

前两天刚购买了一台腾讯云服务器，安装了一个宝塔面板后就搁置了几天，然而昨天登录面板的时候，发现监控状态全都爆红，CPU更是一直100%无法下降，2H2G的配置，直接卡爆。

记一次Xmrig挖矿木马排查过程 2021年9月2日晚上，突然收到阿里云的一条短信，说是服务器被挖矿软件入侵了，马上打开电脑查看 控制台CPU占用 原因分析与解决方案 寻找原因 查找挖矿进程 top -H 从图上我们可以找到CPU占用100%的进行名为xmrig(甚至都不伪装一下进程名) 查找挖矿程序文件位置 root@xxx:/# find / -name ‘xmrig’ /root/.c3pool/xmrig --config=/root/.c3pool/config.json 我们尝试kill掉

就明月的经验大部分都是用了来路不明、破解版插件、主题带来的，毕竟这年月没人愿意免费破解，都是有目的的，那就是植入恶意代码和木马，只要你安装运行就会激活入侵系统了，至于带来的后果各种各样了。不会影响 WordPress 的正常运行，除非你所用的主题或者插件里有需要单独运行 PHP 代码的时候，比如：WordPress 小工具里增强文本（单独运行 PHP 代码）工具类的。】文章，然后就是停用所有插件，一个一个启用观察排除了或者修改 WordPress 的插件目录名称，重新安装正规渠道的插件。

本文提供了一份针对Windows服务器感染XMRig挖矿病毒的实战排查与清除指南。通过识别高CPU占用进程、分析启动项与计划任务、使用专业工具深度探查，并按照安全顺序彻底移除病毒组件，帮助运维人员快速恢复服务器性能。同时强调溯源攻击入口和系统安全加固，以防止再次入侵。

挖矿木马对非Web组件的攻击已覆盖。

阿里云安全中心报告了告警信息，同时手机短信、邮件、电话也接收到了来自阿里云的风险通知，感觉这方面阿里云还是不错。

防止和修复php网站被挂木马

我们推测攻击者不止一个，并且都是通过SSH弱口令入侵服务器。事件时间线如下图所示：第一波攻击者可能是挖矿组织，在5月7日大概率利用SSH弱口令进入服务器上传挖矿程序somescript，且做了对应的维持手段。第二波攻击者可能是黑产组织，攻击时间为7月16日至7月17日，其操作是对网站做黑帽SEO，更改宝塔后台并上传大量后门。第三波攻击者应该只是想控制一批跳板机，在8月17日上传了代理程序，目前在服务器上出现的恶意事件最后截止也是到8月17日。

背景：网站被挂马，并且被改动了index.php。导致显示的入口文件为挂马文件 1、查看被攻击的当天的访问日志。  tail www.***-access_log 如图所示，我们看到日志的日期格式为[31/Jan/2019] 然后过滤到当天的查询日志，并保存文件 cat www.***-access_log | grep "30/Jan/2019" > /tmp/2019-...