一、服务器被攻击
今天好不容易周五没课，结果一睁眼发现腾讯云提醒我服务器被攻击了，赶紧从床上爬下来处理（双11这些害虫也狂欢是吧）
负载是满的，cpu利用率是满的，倒是内存利用率只涨了一点点，
1.
2.
二、找到木马程序所在位置并杀掉进程
根据腾讯云的短信提示，找到木马所在位置
/var/tmp/ 下的 .x和.xrx目录
查看当前所有进程（按cpu利用率排序）
3.
可以看到有一个esuser用户的进程用爆了cpu
我们知道了他的id是4246
通过宝塔来到次进程在proc文件下的目录
（每个进程启动之后在 /proc下面有一个于pid对应的路径）
4.
到/proc/4246下，ls -l 会看到：
cwd符号链接的是进程运行目录；
exe符号连接就是执行程序的绝对路径；
cmdline就是程序运行时输入的命令行命令；
5.
这个程序在/.Recycle_bin/bt_var_bt_tmp_bt.xrx_t_1668129582.9301162/xrx
.Recycle_bin带代表的是回收站
我第一时间把木马所在目录 .x和.xrx目录删了，所以这里会显示在回收站
不然就是/var/tmp/.xrx/xrx
到这里一切都清晰了，他利用esuser这个用户植入了木马程序.x和.xrx
我查看了.xrx文件
6.
立面的内容就是删除一些目录，没有什么危险操作
这木马这么友善，还自带卸载程序，我执行了一下
7.
负载下降了一下，但立刻反弹，感觉这个程序只是用来删除一些缓存日志的
8.
9.
没办法，那就直接杀死进程
10.
11.
恢复正常
然后我就把木马程序从回收站里恢复出来了，因为我想看看他控制了我的服务器都干了什么。（我下到本地电脑的时候直接提示是木马，自动给删除，所以就只能在云服务器上看了）
12.
可能是我恢复了木马程序的原因吧（可我也没执行啊），导致木马程序又启动了，再次找到进程，杀掉进程，删掉木马，到目前为止没再出现异常。
三、为什么会被攻击
分析一下为什么会被攻击
几天前学习es的时候创建了一个测试用的账户esuser，密码123456（测试嘛，就随便写了一个）
但后来上线的时候没在意，直接就用的这个账户执行的搜索引擎实例，同时我的搜索引擎没有配置安全那个模块，当时腾讯用给了三条风险提醒
我没在意，我也不知道是哪里出了漏洞。（我认为原因可能是我为了搜索引擎特意开放了一个端口，并且没有进行安全配置）
被攻击与搜索引擎脱不了关系，同时这个用户密码太简单了，可以说形同虚设
现在我已经更改了密码，并且限制了此用户远程登陆，不过搜索引擎仍然没有进行安全配置（头铁）
重点！！！
提醒大家，创建新用户时一定要限制他远程登陆，留一个能登陆的用户就够了，同时密码一定不要设成类似123456这种nt密码（其实我挺好奇他是怎么知道我有esuser这样一个用户的）
当然安全防护还有很多说道，有服务器的可以看看下面这篇
https://blog.laoda.de/archives/how-to-secure-a-linux-server
四、被植入的是个CPU挖矿木马
最后说一下这是个什么木马
挖矿木马
程序我看不懂，config.json中的几个ip地址和网站可以看出这是一个cpu挖矿木马
异常登陆我服务器的ip在德国
13.
config.json文件中的两个ip在荷兰
14.
15.
http://pool.supportxmr.com/
一个门罗币CPU挖矿的矿池
16.
就这种人，你这辈子也吃不上四个菜，折腾我一天
评论区