挖矿病毒

CPU深夜狂飙，一帮大佬都傻眼了...

• 傍晚时分，警报声乍起，整个 Linux 帝国都陷入了惊恐之中。

安所有长迅速召集你们商讨应对之策。

“诸位，突发状况，CPU 占用率忽然飙升，而且长时间没有降下来的趋势，CPU 工厂的阿 Q 向咱们表达了强烈抗议。”

这时，一旁的 kill 命令说到：“部长莫急，叫 top 老哥看一下谁在占用 CPU，拿到进程号 pid，我把他干掉就行了。”

此言一出，在座的大伙都点头赞许，惊恐之色稍解。

top 命令站了起来，面露得意之色，说到：“你们请看好了”，说完，打印出了当前的进程列表：

众人瞪大了眼睛，瞅了半天，也没看出哪一个进程在疯狂占用 CPU，top 老哥这下尴尬了。

这时，一旁的 ps 命令凑了上来，“让我来试试。”

ps 命令深吸了一口气，也打印出了进程列表。然而，依旧没有任何可疑的进程。

“你俩怎么回事，为何没有？”，安所有长有些不悦。

“部长，我俩都是遍历的 /proc/ 目录下的内容，按理说，全部的进程都会在这里啊，我也想不通为何找不到···”，top 老哥委屈的说到。

“遍历，怎么遍历的？”

“就是经过 opendir/readdir 这些系统调用函数来遍历的，这都是帝国提供的标准接口，应该不会出错，除非···”，说到这，top 打住了。

“除非什么？”

“除非这些系统调用把那个进程给过滤掉了，那样的话我就看不到了，难道有人潜入帝国内核，篡改了系统调用？”

安所有长瞪大了眼睛，真要如此，那但是大事啊！

眼看部长急的团团转，一旁的 netstat 起身说到：“部长，我以前结识一好友，名叫 unhide，捉拿隐藏进程是他的拿手好戏，要不请他来试试？”

部长大喜，“还犹豫什么，赶忙去请啊！”

“已经联系了，随后就到。”

部长看着 netstat，说到：“正好，趁着这个功夫，你先来看看如今有没有对外可疑的链接。”

netstat 点了点头，随后打印出了全部的网络链接信息：
“来来来，大家挨个来认领，看看都是谁的”，部长说到。
“这个 80 端口的服务是个人”，nginx 站了出来。

“这个 6379 端口服务是个人”，redis 也站了出来。

“这个，9200 是个人”，elasticsearch 说到。

“3306 那个是个人”

“8182 是个人”

······

一阵嘈杂后，只剩下一个链接无人认领：

tcp   0    0 192.168.0.4:51854      88.99.193.240:7777    ESTABLISHED  -

“部长，这八成就是躲在暗处那家伙的链接”，netstat 说到。

安所有长思考片刻问到：“curl 何在？来访问下这个 IP 地址，探探对方虚实。”

curl 站了出来，“来了来了！”

curl 当心翼翼的发送了一个 HTTP 请求过去，对方居然回信了：

一行醒目的 mining poll 出如今你们面前。

“挖，挖矿病毒！”，top 老哥叫了出来。

这一下，在场全部的人都倒吸了一口凉气。

部长赶忙叫防火墙 firewall 配置了一条规则，将这条链接掐断。

就在这时，unhide 走了进来。

简单了解了状况后，unhide 拍拍胸脯说到：“这事交给我了，必定把这家伙给揪出来。”

随后，unhide 一阵操做猛如虎，输出了几行信息：

Found HIDDEN PID 13053
    Executable: "/usr/bin/pamdicks"
    $USER=root

Found HIDDEN PID 13064
    Executable: "/usr/bin/pamdicks"
    $USER=root

众人皆凑了过来，瞪大了眼睛，unhide 老哥果真不是盖的，果然发现了几个可疑分子。

top 有点表示怀疑，问到：“敢问兄台用的什么路数，为什么我等都看不到这几个进程的存在？”

unhide 笑道：“没什么神秘的，其实我也是遍历 /proc/ 目录，和大家不一样的是，我不用 readdir，而是从进程 id 最小到最大，挨个访问 /proc/$pid 目录，一旦发现目录存在并且不在 ps 老哥的输出结果中，那这就是一个隐藏进程。”

一旁的 ps 笑道：“原来还有个人功劳呐。”

“找到了，就是这家伙！”，netstat 大声说到。

“你怎么这么确定？”部长问到。

“你们请看，进程打开的文件都会在 /proc/pid/fd 目录下，socket 也是文件，我刚看了一下，这个进程恰好有一个 socket。再结合 /proc/tcp 信息，能够肯定这个 socket 就是目标端口号 7777 的那一条！”

“好家伙！好家伙”，众人皆啧啧称赞。

“还等什么，快让我来干掉它吧！”，kill 老哥已经按捺不住了。

“让我来把它删掉”，rm 小弟也磨刀霍霍了。

部长摇头说到：“且慢，cp 何在，把这家伙先备份到隔离目录去，以待秋后算帐”。

cp 拷贝完成，kill 和 rm 两位一块儿上，把背后这家伙就地正法了。

top 赶忙查看了最新的资源使用状况，惊喜的欢呼：“好了好了，CPU 占用率总算降下去了，真是大快人心。”

天色已然不早，没多久，众人前后离开，帝国恢复了往日的平静。

不过，安所有长的脸上，仍然是一脸愁容。

“部长，病毒已经被清除，为什么仍是闷闷不乐呢？”，助理问到。

“病毒虽已清除，但殊不知这家伙是如何闯入的，还有背后暗中保护隐藏它的人又是谁，这实让我在很忧心啊！”

不知不觉夜已深，帝国安全警报忽然再一次响了起来。

“这又是怎么回事？”，部长厉声问到。

“部长，rm 那小子是假冒的，今天他骗了咱们，病毒根本没删掉，又卷土重来了！”

部长望向远处的天空，CPU 工厂门口的风扇又开始疯狂地转了起来···