1.發(fā)現異常進程，立即禁止凍結。
如果禁止后會自動重啟，則需要判斷crontab等來找到進程重啟的原因，如果有cron項目惡意重啟進程，先要對cron進行清理。如果，是進程有自啟動機制保護進程被殺后重啟的話，此時可暫時凍結異常進程(注意不是停止)。
發(fā)現一個惡意進程后通過 ls –al /proc/Pid (Pid為具體的進程號)，發(fā)現進程的啟動路徑，啟動的文件所在目錄等信息。kill -STOP Pid 可以暫時凍結pid的進程，這時此進程將不能正常工作，不能占用系統(tǒng)資源，不往外發(fā)包。，被凍結的進程可以通過ps aux|grep –T來查到，此后如果需要可通過 skill -CONT Pid恢復進程。
2.如果發(fā)現異常連接數，通過iptables封禁相關端口或者ip。
查看網站訪問日志，分析異常訪問，對異常訪問ip進行處理，對異常訪問的文件進行處理。
3.清理移動木馬，殺掉進程。
首先清理掉木馬創(chuàng)建的cron 計劃項和主要是/etc/crontab文件，和cron.d/ cron.daily/ cron.deny cron.hourly/ cron.monthly/ cron.weekly/等目錄下的惡意計劃項目；/etc/init.d/下的惡意啟動項以及rcN目錄下的啟動項。記錄下這些項目的內容涉及到的文件，然后全部清理到，注意截圖保留相應的證據(文件時間簽，文件內容等的截圖)。
其次，根據ls -al /etc/proc/Pid/ 找的惡意木馬文件，以及上一步的計劃項和啟動項目中涉及所有木馬文件。所有進程項目的進程ID：惡意進程的執(zhí)行目錄和文件
最后用一條命令 kill -9 所有的進程ID && rm -rf 所有涉及的文件和目錄。然后觀察服務器安全情況，如果有問題立馬重復以上步驟。
清理所有木馬即可，沒有必要格盤重裝系統(tǒng)。而且很多時候業(yè)務不允許你有時間有資源下線重裝。
Copyright 2003-2022 安徽炎黃網絡科技有限公司 All Rights Reserved 炎黃網絡
版權所有
《中華人民共和國電信與信息服務業(yè)務經營許可證》[ 皖B1.B2-20070016-1]
皖公網安備：34019202000382
聯系地址：合肥市高新區(qū)天智路5號同創(chuàng)科技園1號樓17層
24小時售后服務電話：0551-63670030
