Linux之在CentOS上一次艰难的木马查杀过程

最新推荐文章于 2026-04-25 18:01:56 发布
转载 最新推荐文章于 2026-04-25 18:01:56 发布 · 9.4k 阅读 · 18
本文记录了一次处理自我恢复型服务器木马的过程，该木马利用多种手段启动并隐藏自身，对抗清除尝试。文中详细介绍了查找木马启动源、对抗策略及最终成功清除的方法。

今天朋友说他一台要准备上线的生产服务器被挂马，特征ps命令找不到进程，top能看到负载最高的一个程序是一个随机的10位字母的东西，kill掉之后自动再次出现一个随机10位字母的进程。

我让他关闭这个机器的外网，内网放开，在局域网中给我一个跳板。等我拿到权限之后进入机器，先按照朋友说的验证了一遍，果然是那样，木马有自我保护自我恢复。

这时候我想到一个问题居然是能自我开机启动，要么/etc/rc.d/{init.d,rc{1,2,3,4,5}.d}/下有启动脚本，要么有cron计划任务。

于是我发现crontab -l是正常，来到/etc/rc.d/init.d下发现了异常有10位字母的启动脚本，脚本内容如下

01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
[root@Xd9BdoAkG ~] # cat /etc/rc.d/init.d/fregonnzkq
#!/bin/sh
# chkconfig: 12345 90 90
# description: fregonnzkq
### BEGIN INIT INFO
# Provides:        fregonnzkq
# Required-Start:   
# Required-Stop:   
# Default-Start:    1 2 3 4 5
# Default-Stop:       
# Short-Description:    fregonnzkq
### END INIT INFO
case $1 in
start)
     /usr/bin/fregonnzkq
     ;;
stop)
     ;;
*)
     /usr/bin/fregonnzkq
     ;;
esac

看到这我真是佩服这帮人单用户启动模式都不放过啊，尼玛，你这是赶尽杀绝啊。。。。。。。
到了这里我天真的删除了几个这样的启动脚本，然后重启服务器，问题依旧。。。。。。。。。你妹啊。。。不带这样玩的。。。。

到了这时候我多想了下，是不是还有启动脚本？仔细核查发现/etc/rc.d/rc3.d/下还有问题

01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
[root@Xd9BdoAkG rc3.d] # ls -lt
total 0
lrwxrwxrwx  1 root root 20 Sep  8 13:21 S90eviykluziy -> .. /init .d /eviykluziy
lrwxrwxrwx  1 root root 20 Sep  8 12:49 S90yuurxgembh -> .. /init .d /yuurxgembh
lrwxrwxrwx  1 root root 20 Sep  8 10:37 S90fregonnzkq -> .. /init .d /fregonnzkq
lrwxrwxrwx. 1 root root 15 Sep  7 14:08 S85nginx -> .. /init .d /nginx
lrwxrwxrwx. 1 root root 24 Sep  7 13:55 S99libvirt-guests -> .. /init .d /libvirt-guests
lrwxrwxrwx. 1 root root 19 Sep  7 13:55 S26haldaemon -> .. /init .d /haldaemon
lrwxrwxrwx. 1 root root 19 Sep  7 13:54 K10saslauthd -> .. /init .d /saslauthd
lrwxrwxrwx. 1 root root 20 Sep  7 13:54 S22messagebus -> .. /init .d /messagebus
lrwxrwxrwx. 1 root root 14 Sep  7 13:51 S55sshd -> .. /init .d /sshd
lrwxrwxrwx. 1 root root 18 Sep  7 13:51 K15svnserve -> .. /init .d /svnserve
lrwxrwxrwx. 1 root root 17 Sep  7 13:44 S10network -> .. /init .d /network
lrwxrwxrwx. 1 root root 17 Sep  7 13:44 S12rsyslog -> .. /init .d /rsyslog
lrwxrwxrwx. 1 root root 15 Sep  7 13:44 S90crond -> .. /init .d /crond
lrwxrwxrwx. 1 root root 19 Sep  7 13:44 K75udev-post -> .. /init .d /udev-post
lrwxrwxrwx. 1 root root 17 Sep  7 13:44 K30postfix -> .. /init .d /postfix
lrwxrwxrwx. 1 root root 15 Sep  7 13:44 K75netfs -> .. /init .d /netfs
lrwxrwxrwx. 1 root root 19 Sep  7 13:44 K85mdmonitor -> .. /init .d /mdmonitor
lrwxrwxrwx. 1 root root 22 Sep  7 13:44 K99lvm2-monitor -> .. /init .d /lvm2-monitor
lrwxrwxrwx. 1 root root 15 Sep  7 13:44 K80kdump -> .. /init .d /kdump
lrwxrwxrwx. 1 root root 18 Sep  7 13:44 K92iptables -> .. /init .d /iptables
lrwxrwxrwx. 1 root root 19 Sep  7 13:44 K92ip6tables -> .. /init .d /ip6tables
lrwxrwxrwx. 1 root root 20 Sep  7 13:44 K90eyshcjdmzg -> .. /init .d /eyshcjdmzg
lrwxrwxrwx. 1 root root 26 Sep  7 13:44 K75blk-availability -> .. /init .d /blk-availability
lrwxrwxrwx. 1 root root 16 Sep  7 13:44 K88auditd -> .. /init .d /auditd
lrwxrwxrwx. 1 root root 17 Sep  7 13:37 K75ntpdate -> .. /init .d /ntpdate
lrwxrwxrwx. 1 root root 20 Sep  7 12:15 K50netconsole -> .. /init .d /netconsole
lrwxrwxrwx. 1 root root 11 Sep  7 12:15 S99local -> .. /rc . local
lrwxrwxrwx. 1 root root 15 Sep  7 12:15 K89rdisc -> .. /init .d /rdisc
lrwxrwxrwx. 1 root root 21 Sep  7 12:15 K87restorecond -> .. /init .d /restorecond

看到后我只想把这个木马的作者找到然后说收我做徒弟吧。。。。。。。。
于是我又很傻很天真的删除了这些启动脚本，并且kill了相关进程，希望的太阳没有升起，沉重的打击再次来临，木马再次自我复制自我运行了。。。。启动脚本再次出现了。。
我知道我进入了误区，重新想思路。。。

不知道为什么我瞬间想到了我遗漏了一个地方，cron，对。。。我是crontab -l 来查看的，还有个地方的cron任务不会在这个命令下出现/etc/cron.*

01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
[root@Xd9BdoAkG ~] # cat /etc/crontab
SHELL= /bin/bash
PATH= /sbin : /bin : /usr/sbin : /usr/bin
MAILTO=root
HOME=/
# For details see man 4 crontabs
# Example of job definition:
# .---------------- minute (0 - 59)
# |  .------------- hour (0 - 23)
# |  |  .---------- day of month (1 - 31)
# |  |  |  .------- month (1 - 12) OR jan,feb,mar,apr ...
# |  |  |  |  .---- day of week (0 - 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat
# |  |  |  |  |
# *  *  *  *  * user-name command to be executed
* /3 * * * * root /etc/cron .hourly /gcc .sh

你妹啊 啊 啊 啊，不带这样玩的

1
2
3
4
5
6
[root@Xd9BdoAkG ~] # cat /etc/cron.hourly/gcc.sh
#!/bin/sh
PATH= /bin : /sbin : /usr/bin : /usr/sbin : /usr/local/bin : /usr/local/sbin : /usr/X11R6/bin
for i in ` cat /proc/net/dev | grep :| awk -F: { 'print $1' }`; do ifconfig $i up& done
cp /lib/libudev .so /lib/libudev .so.6
/lib/libudev .so.6
1
2
3
4
5
6
[root@Xd9BdoAkG ~] # cat /proc/net/dev|grep :|awk -F: {'print $1'}
      lo
     em1
     em2
     em3
     em4

我擦，看到这，再次shit，你还知道主动启动网络和外面联系啊。。。。

1
2
[root@Xd9BdoAkG ~] # file /lib/libudev.so
/lib/libudev .so: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), statically linked, for GNU /Linux 2.6.9, not stripped

居然不是脚本什么的，想看文件具体内容暂时是没时间了。。。。。。。

到了这里我们可以确认有几个地方有问题/lib/libudev.so /etc/cron.hourly/gcc.sh /etc/crontab /etc/rc.d/init.d/ /etc/rc.d/rc3.d/

由于对方发送大量数据包，所以开始采取iptables来封禁，发现这玩意直接把output是 state 为new的drop掉。。。。。。。。不想说了，已经被他玩够了，不在乎多一次。。

通过排查可以肯定/lib/libudev.so是主体。其他是协助运行和自我保护自我复制的实现。既然你是个程序还在系统上，我有root，还搞不定么。为了不再多拖时间，直接查杀了。。

01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
[root@Xd9BdoAkG ~] # chmod 0000 /lib/libudev.so && rm -rf /lib/libudev.so && chattr +i /lib/
#在一步一点要这样运行，不然赶不上木马的自我恢复速度。。。。。我在这里坑了很长时间。
[root@Xd9BdoAkG ~] # ls /lib/
cpp  firmware  kbd  modules  security  terminfo  udev
[root@Xd9BdoAkG ~] # ls /lib/
cpp  firmware  kbd  modules  security  terminfo  udev
[root@Xd9BdoAkG ~] # ls /lib/
cpp  firmware  kbd  modules  security  terminfo  udev
[root@Xd9BdoAkG ~] # ls /lib/
cpp  firmware  kbd  modules  security  terminfo  udev
[root@Xd9BdoAkG ~] # ls /lib/
cpp  firmware  kbd  modules  security  terminfo  udev
[root@Xd9BdoAkG ~] # ls /lib/
cpp  firmware  kbd  modules  security  terminfo  udev
##貌似主体被控制住了，不能再次自我恢复了。。。
[root@Xd9BdoAkG ~] # ls /etc/rc.d/rc3.d/ | awk '$7>=8 && $NF~/^K90/{print $NF}' | egrep '^.{10}$'| xargs -i rm -rf /etc/rc.d/rc3.d/{}
chmod 0000 /etc/rc .d /rc3 .d/ && chmod 0000 /etc/rc .d /init .d && chattr +i /etc/rc .d /rc3 .d/ && chattr +i /etc/rc .d /init .d
#删除启动脚本 awk '$7>=8 && $NF~/^K90/{print $NF}' 这里的8是当天的日期8号的意思，写的不严紧，勿喷~~~
#且控制目录不能写东西了
1
2
[root@Xd9BdoAkG ~] # sed '/gcc.sh/d' /etc/crontab && chmod 0000 /etc/crontab && chattr +i /etc/crontab
#删除计划任务且控制计划任务不能写东西

到了这里基本就差不多了。。。。。现在去重启服务器，

01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
[root@Xd9BdoAkG ~] # top -b -n1 | head
top - 18:13:47 up 0 min,  1 user,  load average: 0.11, 0.03, 0.01
Tasks: 178 total,   2 running, 176 sleeping,   0 stopped,   0 zombie
Cpu(s):  1.4%us,  1.6%sy,  0.0%ni, 95.7% id ,  1.3%wa,  0.0%hi,  0.0%si,  0.0%st
Mem:  32827160k total,   486308k used, 32340852k free ,     6864k buffers
Swap: 16482300k total,        0k used, 16482300k free ,    28312k cached
 
   PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND                                                                    
     1 root      20   0 19232 1512 1224 S  0.0  0.0   0:01.26 init                                                                       
     2 root      20   0     0    0    0 S  0.0  0.0   0:00.00 kthreadd                                                                   
     3 root      RT   0     0    0    0 S  0.0  0.0   0:00.00 migration /0                                                                
[root@Xd9BdoAkG ~] # top -b -n1 | head
top - 18:13:51 up 0 min,  1 user,  load average: 0.10, 0.03, 0.01
Tasks: 178 total,   1 running, 177 sleeping,   0 stopped,   0 zombie
Cpu(s):  1.3%us,  1.5%sy,  0.0%ni, 96.0% id ,  1.2%wa,  0.0%hi,  0.0%si,  0.0%st
Mem:  32827160k total,   486136k used, 32341024k free ,     6872k buffers
Swap: 16482300k total,        0k used, 16482300k free ,    28344k cached
 
   PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND                                                                    
  1414 root      20   0 15020 1232  872 R  2.0  0.0   0:00.01 top                                                                        
     1 root      20   0 19232 1512 1224 S  0.0  0.0   0:01.26 init                                                                       
     2 root      20   0     0    0    0 S  0.0  0.0   0:00.00 kthreadd                                                                   
[root@Xd9BdoAkG ~] # top -b -n1 | head
top - 18:14:15 up 1 min,  1 user,  load average: 0.06, 0.03, 0.01
Tasks: 178 total,   1 running, 177 sleeping,   0 stopped,   0 zombie
Cpu(s):  0.8%us,  0.9%sy,  0.0%ni, 97.6% id ,  0.7%wa,  0.0%hi,  0.0%si,  0.0%st
Mem:  32827160k total,   483360k used, 32343800k free ,     6900k buffers
Swap: 16482300k total,        0k used, 16482300k free ,    28360k cached
 
   PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND                                                                    
     1 root      20   0 19232 1512 1224 S  0.0  0.0   0:01.26 init                                                                       
     2 root      20   0     0    0    0 S  0.0  0.0   0:00.00 kthreadd                                                                   
     3 root      RT   0     0    0    0 S  0.0  0.0   0:00.00 migration /0
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
[root@Xd9BdoAkG ~] # ls /etc/cron.hourly/
0anacron
[root@Xd9BdoAkG ~] # ls -lt /etc/rc.d/rc3.d/
total 0
lrwxrwxrwx. 1 root root 15 Sep  7 14:08 S85nginx -> .. /init .d /nginx
lrwxrwxrwx. 1 root root 24 Sep  7 13:55 S99libvirt-guests -> .. /init .d /libvirt-guests
lrwxrwxrwx. 1 root root 19 Sep  7 13:55 S26haldaemon -> .. /init .d /haldaemon
lrwxrwxrwx. 1 root root 19 Sep  7 13:54 K10saslauthd -> .. /init .d /saslauthd
lrwxrwxrwx. 1 root root 20 Sep  7 13:54 S22messagebus -> .. /init .d /messagebus
lrwxrwxrwx. 1 root root 14 Sep  7 13:51 S55sshd -> .. /init .d /sshd
lrwxrwxrwx. 1 root root 18 Sep  7 13:51 K15svnserve -> .. /init .d /svnserve
lrwxrwxrwx. 1 root root 17 Sep  7 13:44 S10network -> .. /init .d /network
lrwxrwxrwx. 1 root root 17 Sep  7 13:44 S12rsyslog -> .. /init .d /rsyslog
lrwxrwxrwx. 1 root root 15 Sep  7 13:44 S90crond -> .. /init .d /crond
lrwxrwxrwx. 1 root root 19 Sep  7 13:44 K75udev-post -> .. /init .d /udev-post
lrwxrwxrwx. 1 root root 17 Sep  7 13:44 K30postfix -> .. /init .d /postfix
lrwxrwxrwx. 1 root root 15 Sep  7 13:44 K75netfs -> .. /init .d /netfs
lrwxrwxrwx. 1 root root 19 Sep  7 13:44 K85mdmonitor -> .. /init .d /mdmonitor
lrwxrwxrwx. 1 root root 22 Sep  7 13:44 K99lvm2-monitor -> .. /init .d /lvm2-monitor
lrwxrwxrwx. 1 root root 15 Sep  7 13:44 K80kdump -> .. /init .d /kdump
lrwxrwxrwx. 1 root root 18 Sep  7 13:44 K92iptables -> .. /init .d /iptables
lrwxrwxrwx. 1 root root 19 Sep  7 13:44 K92ip6tables -> .. /init .d /ip6tables
lrwxrwxrwx. 1 root root 26 Sep  7 13:44 K75blk-availability -> .. /init .d /blk-availability
lrwxrwxrwx. 1 root root 16 Sep  7 13:44 K88auditd -> .. /init .d /auditd
lrwxrwxrwx. 1 root root 17 Sep  7 13:37 K75ntpdate -> .. /init .d /ntpdate
lrwxrwxrwx. 1 root root 20 Sep  7 12:15 K50netconsole -> .. /init .d /netconsole
lrwxrwxrwx. 1 root root 11 Sep  7 12:15 S99local -> .. /rc . local
lrwxrwxrwx. 1 root root 15 Sep  7 12:15 K89rdisc -> .. /init .d /rdisc
lrwxrwxrwx. 1 root root 21 Sep  7 12:15 K87restorecond -> .. /init .d /restorecond

开机后发现进程没异常了，世界貌似平静了。。。。

然后再次恢复/etc/crontab /etc/rc.d/init.d/ /etc/rc.d/rc3.d/ /lib文件夹的权限。然后再次重启。。。。。世界真的清静。。。。

记一次Centos服务器被挂马的抓马经历
09-15
主要介绍了记一次Centos服务器被挂马的抓马经历分享，非常不错，具有参考借鉴价值，需要的朋友参考下
容器内反弹shell的51种姿势
帮助别人等于帮助自己 ——MXi4oyu
11-19 1856
什么是反弹shell？ 反弹shell（reverse shell），就是控制端监听在某TCP/UDP端口，被控端发起请求到该端口，并将其命令行的输入输出转到控制端。reverse shell与telnet，ssh等标准shell对应，本质上是网络概念的客户端与服务端的角色反转。 为什么要反弹shell？ 通常用于被控端因防火墙受限、权限不足、端口被占用等情形。 举例：假设我们攻击了一台机器，打开了该机器的一个端口，攻击者在自己的机器去连接目标机器（目标ip：目标机器端口），这是比较常规的形式，我们叫做正向
CentOS 7 安装与使用教程（手把手图文详解版）
最新发布
记录学习点滴，分享实战干货，一起奔赴技术之路
04-25 1088
CentOS 7 安装配置与使用教程
某服务器安全事件分析过程分析和总结
nextdoor6的博客
07-26 2586
0x01 攻击入口的查找 首先我们分析可能遭到攻击的服务。根据服务器上面正在开启的服务，总结了如下服务可能遭受攻击。有开放的22端口ssh服务,开放80端口的http服务，以及开防3306端口mysql服务等。经过查看mysql日志，发现攻击时段并没有被攻击的日志，而且mysql数据库禁止外部ip进行连接的，所以我们排除了从mysql数据库攻击的行为。对http服务的日志进行查找，发现23日对h
linux感染十字符病毒,Linux /lib/libudev.so 病毒清除 随机10字符病毒
weixin_28697603的博客
05-12 429
今天遇到连上网就CPU，网络爆满的情况，查看日志发现一直在启动/etc/cron.hourly/gcc.sh，然后去网上查了下，发现是中招了，最后按文章成功解决:)其中许多是查找，解决基本上是删除gcc.sh等一些在init.d下的执行文件，还有crontab里的level3有个启动，再chattr +i /usr/bin锁定那些检测删除病毒主程序的东西，这样就能rm删除掉主程序，find发现.T...
控制linux对外发包php,如何实现CentOS不停向外发包
weixin_29324877的博客
03-22 233
如何实现CentOS不停向外发包？服务器不停的向外发包，且CPU持续100%，远程登录后查看发现有一长度为10的随机字符串进程，kill掉，会重新生成另外长度为10的字符串进程。删除文件也会重复生成，非常痛苦。查阅crond相关日志，发现实际执行的内容为/lib/libudev.so ，以此为关键字进行查询，找到如下内容：1.1 工具/原料Linux系统病毒文件libudev.so1.2 方法/步...
【安全脚本】 centos 下的病毒木马查杀脚本
互联网老辛
09-04 4654
文章目录前言源码解释说明1） clamv 的安装方式2) 常用参数和命令后续总结 前言 病毒木马查杀脚本使用的是clamAV , 它是开源工具包，用于检测特洛伊木马，病毒，恶意软件，以及其他威胁。 特点： 安装使用简单，在centos6下yum安装即可，在centos7下也可以用yum，比6稍微复杂点 支持读写扫描 提供病毒数据更新 可以扫描档案和压缩文件 源码 #!/bin/bash DATE="$( date +%F )" LOGD="${WORKDIR}/log.d" RC=0 DIR=/ D
查杀 libudev.so 和 XMR 挖矿程序记录
weixin_34248487的博客
10-25 373
这两天使用的公网服务器被入侵了，而且感染了不止一种病毒：一种是 libudev.so，是 DDoS 的客户端，现象就是不停的向外网发包，也就是超目标发起 DDoS 攻击；另外一种是挖矿程序，除了发包之外，还会造成很高的 CPU 负载。下面记录一下病毒的行为和查杀方法。 1. libudev.so 1.1 病毒特征 这种病毒的特征还是很明显的，进程列表中...
阿里云服务器糟肉鸡行为的应对措施
Logica的专栏
06-20 5775
解决该问题用了两篇博友文章 #########################################################、 注 ：第一篇中“mtyxkeaofa“是病毒，你的服务器上可能是"yam" ,"xxxswrerw"等，灵活变通 1： linux下如何删除十字符libudev.so病毒文件     服务器不停的向外发包
linux 随机10字符病毒,Linux 10字符串命令病毒的处理记录
weixin_35965648的博客
05-12 204
刚上线的测试服务器不停的向外发包，且CPU持续100%，远程登录后查看发现有一长度为10的随机字符串进程，kill掉，会重新生成另外长度为10的字符串进程。删除文件也会重复生成，非常痛苦。查阅crond相关日志，发现实际执行的内容为/lib/libudev.so ，以此为关键字进行查询，找到如下内容：1，網路流量暴增，使用 top 觀察有至少一個 10 個隨機字母組成的程序執行，佔用大量 CPU ...
Redis未授权访问
xuanlanxiao的博客
05-10 654
攻击者在未授权访问Redis的情况下，利用Redis自身提供的config命令，可以进行写文件操作，攻击者可以成功将自己的ssh公钥写入目标服务器的/root/.ssh/authotrized_keys文件中，进而可以使用对应私钥直接使用ssh服务登录目标服务器。可以简单看一下这些，原因很简单，因为centos7自身存在防火墙，会将redis默认端口6379隐藏，不允许外界访问，所以这里kali访问失败，我们关掉centos7的防火墙再试一试。自己搭建的靶场可以拉拽redis压缩包进入虚拟机里。
彻底清除Linux centos minerd木马
无意摘花
05-08 761
前几天感觉tomcat服务启动很慢，没太注意，今天一top，竟然发现有个minerd进程把整个cpu都占满了，在网上一查，发现已有前辈遇到这样的问题了，在此转载一下，以供大家参考。 原文：http://jingyan.baidu.com/article/b7001fe1bf71ee0e7282dddb.html 1 现状描述 1.1 现像 top可以看到，这个minerd 程序把cpu跑满了 1.2 定位进程 ps aux | grep minerd 可知是这个程序: /opt/miner
如何找出哪些文件被挂马
Magicbreaker的专栏
08-27 1019
网站在/WWW目录下。html文件被写入http://www.abc.con/c.js通过什么命令找出哪些HTML文件有这段代码，并且把被挂马的文件名写入一个文档中。应该怎么做。 1、进入存放 html 的目录 2、grep -rn2 --color "<!--http://www.abc.con/c.js// -->" . 此方法的优势在于  1)、不仅可
Linux下手动查杀木马
菜鸟、上路
08-25 7410
一、 模拟木马程序病原体并让木马程序自动运行 黑客让脚本自动执行的三种方法： 计划任务，crontab；开机启动；系统命令被替换，使用命令后被触发。 1、 生成木马程序病原体 [root@xuegod120 ~]# vim /usr/bin/fregonnzkq #!/bin/bash touch /tmp/aaa.txt while true do echo date >> /tmp...
有了这个网络安全面试题，面试就像开了挂！（附PDF）
lvaolan的博客
02-26 2461
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！​​​​内容实在太多，不一一截图了。
Centos7中病毒排查[tsm][kswapd0]
weixin_45552912的博客
02-24 595
看一下主机的资源使用情况 先按照腾讯云文档给的建议走走 腾讯云文档url：https://cloud.tencent.com/document/product/296/9604 == last 命令无异常 less /var/log/secure|grep ‘Accepted’ 查了一个ip，为美国的 看来是被攻击了，还是用root ssh上来的。----可能我的root密码太简单了吧 找找病毒在哪里 netstat -ntlp 貌似没啥问题呢 netstat -antlp 7. 在这里看到了..
Linux下查杀木马常用命令
nece001的专栏
02-21 1689
先进行检查： 根据top命令查看当前进程，找到可疑进程的进程号和运行的用户 去/proc目录下对应的进程号目录，查看exe文件对应的目录 （今天发现的是pscan2这个木马，启动用户是tel） 着手处理 1、停止用户tel所有进程 #pkill -9 -U tel 2、删除用户tel #userdel tel 其它可能有用的命令 停止名为scanssh的所有进程 #pkill -9 ...
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值