码迷,mamicode.com
首页 > 系统相关 > 详细

linux系统下病毒排除思路

时间:2019-03-12 16:52:41      阅读:276      评论:0      收藏:0      [点我收藏+]

标签:自动启动   tmp   kill   pwd   中毒   cpu   bin   修改   cer   

1、top查看是否有特别吃cpu和内存的进程,病毒进程kill是杀不死的,因为ps命令被修改

技术图片

2、ls -la /proc/病毒进程pid/  pwd为病毒进程程序目录 一般在/usr/bin下

3、/bin/ps,/bin/netsta程序都是1.2M的大小,显然被人掉包 ps  改成了ips

4、进入/usr/bin  ls -lart 查看最近被修改的程序 .25unix为守护进程

技术图片

5、杀死守护进程 (先去掉i权限,然后删除,chattr命令被删除,去一台正常设备上拷贝一个正常的charrt命令,在/usr/sbin/下)

主要命令:

/tmp/chattr –I /usr/bin/.25unix

rm –rf /usr/bin/.25unix

top出病毒进程并杀死

然后刹子进程

ips -ef |grep "/usr/bin/"

kill -9 杀死进程(或者使用脚本文件)

技术图片

6、删除程序

/tmp/chattr -i 34 lockr .locks  dget .bget gurl .curl iss  nets dpkgd/* ips .25unix

/tmp/chattr -i /bin/ps

 /tmp/chattr -i /bin/ss

/tmp/chattr -i /bin/netstat

/tmp/chattr -i /etc/init.d/Me8ing.conf(将病毒启动目录删除)

/tmp/chattr -i /etc/rc.local vi将病毒自启项删除)

7、恢复命令

cp /usr/bin/ps /bin/ps

cp /usr/bin/ss /bin/ss

cp /usr/bin/netstat /bin/netstat

技术图片

恢复被修改的程序

技术图片

8、中毒后文件变化及修复

/etc/rc.local权限改了,而且添加了一个开机启动项,/etc/init.d/下也有病毒启动程序

/tmp/chattr -i /etc/rc.local 

lsattr、chattr命令被删除

开机自动启动文件增加2个启动项

查看大小是否正常

ls -lh /bin/netstat

ls -lh /bin/ps

ls -lh /usr/sbin/lsof

ls -lh /usr/sbin/ss

ips -ef |grep "/usr/bin/"

kill -9 杀死进程

执行/tmp/chattr +i  将/usr/bin/ /bin/ /etc/ 目录加上i权限,不允许创建.修改和删除文件

 

 

 

linux系统下病毒排除思路

标签:自动启动   tmp   kill   pwd   中毒   cpu   bin   修改   cer   

原文地址:https://www.cnblogs.com/xiaobaijin/p/10517681.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!