记一次服务器被挖矿的运维记录

修改完客户提出的需求,登陆服务器,上传更新包,重启应用后5分钟项目没有启动成功,最初认为自己更新包出现了问题,回退到原来版本,启动5分钟后发现还是没有成功,正在考虑什么问题时,启动日志有了新的输出,然后等待将近10分钟,程序终于启动成功,排除了更新包的问题,将更新包重新上传,启动……(等待10分钟)成功。

项目启动后发现访问网站反应十分缓慢,静态页面访问等待时长将近1分钟时间……

进入后台查看进程发现3个不知名进程占用CPU将近400%
记一次服务器被挖矿的运维记录_第1张图片

找到进程位置
记一次服务器被挖矿的运维记录_第2张图片
将启动文件打开后,发现文件内是一个ip地址
记一次服务器被挖矿的运维记录_第3张图片
查询IP发现是德国IP
记一次服务器被挖矿的运维记录_第4张图片
网上一查发这是一个挖矿程序的配置文件
将进程杀死,文件删除,进程15分钟后又自动开启
感觉应该是定时任务自动启动,查询定时任务,发现果然有2个定时任务
这里写图片描述
查询IP发现是乌拉圭的IP
记一次服务器被挖矿的运维记录_第5张图片
将定时任务和进程启动文件删除后,将进程杀死,观察几个小时后进程没又在启动,网站访问速度回复正常,处理完成……

你可能感兴趣的:(运维)