记录服务器被黑小事

环境

自己在微软云的机器，某天登陆上去，发现CPU达到100%。查看监控，这种状态持续一星期多了。上面是自己测试机器。不可能有这么大消耗，断定服务器被黑了，看来有个监控还是很有必要的。

image.png

排查过程

1、执行htop，发现有个sh的进程占满cpu。这个是啥进程？？？

image.png

kill掉后，立马重新生成，查看/etc/crontab 没有问题。

image.png

2、我们直接进进程目录看看是什么鬼东西。cd /proc/2521（进程号）

image.png

3、ls -l exe 定位可执行程序

image.png

4、进入目录 /mnt/...

image.png

发现根源了，还有个readme文件，打开看看

image.png

还有个cron.d自启动后台任务，

5、执行删除大法 。~~rm -rf /~~ 差点手抖 rm -rf /mnt/.../* 在查看htop，恢复正常。

出现问题参考这个链接

6、可能是ssh端口没改，root可以远程登陆。密码太简单了。被黑了。