Случайная команда Ubuntu съедает 100% использования чашки - PullRequest
0 голосов
/ 21 мая 2018

Я установил сервер Ubuntu в облаке.Недавно я получил предупреждение о том, что загрузка процессора моим сервером всегда составляет 100%.Я пытался расследовать инцидент, но понятия не имею, что происходит.Я надеюсь, что кто-то может указать мне правильное направление на основе того, что я нашел.

Вот что я могу найти:

  • Случайная команда : я запускаю "htop", чтобы проверить, какой процесс потребляет мой ресурс процессора.Я обнаружил, что случайная команда (с именем «tbq», как вы можете видеть в pic ) от «root» продолжает использовать мой ресурс процессора.Я пытался убить его с помощью «kill -9 pid», но он мгновенно оживает другой случайной командой.Я могу остановить процесс только с помощью «kill -STOP pid».

  • elf file: Затем я проверяю системный журнал моего сервера и обнаружил, что следующая команда"cron" продолжает работать:

    CMD (cd /usr/share/nginx/html/drupal-dev/sites/default/files;./share)

Я перехожу в каталог, там немного странных файлов со случайным именем, но с одинаковым содержанием.Я открываю файл с помощью «nano», следующие несколько первых строк файла:

7f45 4c46 0201 0103 0000 0000 0000 0000
0200 3e00 0100 0000 9008 4000 0000 0000
4000 0000 0000 0000 28c6 3f00 0000 0000
0000 0000 4000 3800 0600 4000 2100 1e00

Я ищу в Интернете и знаю, что это должен быть файл ELF.Хотя я не понимаю, что происходит внутри этого файла ELF

  • Drupalgeddon2 : я понимаю, что файл находится в "drupal-dev", я также искал в Googleс ключевыми словами "друпал, эльф".И я нашел этот пост .

Кажется, что внутри drupal есть дыра в безопасности, которую хакеры могут использовать для взлома моего сервера и использования ресурса моего сервера в качестве узла для майнинга криптовалюты.

Вопрос: Я не уверен, является ли "Drupalgeddon2" моим случаем.Может ли кто-нибудь указать мне правильное направление для более глубокого расследования?

Ответы [ 2 ]

0 голосов
/ 21 мая 2018

Это, вероятно, больше, чем просто Drupal.Это скорее защита сервера и его защита перед установкой чего-либо, например, веб-сервера, сервера базы данных или Drupal.

Я бы потратил время на просмотр этих контрольных списков, чтобы очистить его, а затем заблокировать.

Первая сделка с сервером

https://serverfault.com/questions/218005/how-do-i-deal-with-a-compromised-server

Затем сделка с Drupal

https://www.drupal.org/docs/develop/security/your-drupal-site-got-hacked-now-what

0 голосов
/ 21 мая 2018

Используя учетную запись администратора, перейдите к « Меню управления> Отчеты> Доступные обновления », или вы можете просто перейти на www.yourwebsitename.com / admin / reports / updates используя адресную строку вашего браузера.

  • Если вы используете Drupal 7, ваша версия ядра Drupal должна быть на не менее 7,58
  • Если выпри использовании Drupal 8 ваша версия ядра Drupal должна быть на минимум 8.5.1

Если вы используете ниже этих версий, вы можете быть уверены, что ваш сервер был эксплуатирован с использованием Drupalgeddon2 эксплойт.

Когда я находился в той же ситуации, что и вы, я просто скачал базу данных и исходный код Drupal с сервера, обновил ядро ​​Drupal и загрузил исходный код и базу данных в другойсервер.

Это решило мою проблему

...