关键词: Linux.BackDoor.Gates.5
服务器症状:
带宽消耗很大，能占满所有的带宽
处理思路
通过监控查看带宽占满是发生在半夜，无法查看具体现象。
1.修改服务器密码
2.根据监控查看服务器文件最近几天有没有变化
find -type f -ctime -4 -exec ls -l {} \; > 1.log
分析1.log，去除一些常见文件，发现几个可疑的地方
-rwxr-xr-x. 1 root root 1223123 Aug 11 21:27 /usr/bin/ps
-rwxr-xr-x. 1 root root 1223123 Aug 11 21:27 /usr/bin/netstat
-rwxr-xr-x. 1 root root 1223123 Aug 11 21:27 usr/bin/bsd-port/getty
-rwxr-xr-x. 1 root root 5 Aug 11 21:27 usr/bin/bsd-port/getty.lock
-rw-r--r--. 1 root root 73 Aug 12 10:07 usr/bin/bsd-port/conf.n
-rwxr-xr-x. 1 root root 1223123 Aug 11 21:27 /usr/bin/.sshd
-rwxr-xr-x. 1 root root 1223123 Aug 11 21:27 /usr/sbin/ss
ps netstat这个几个明显是系统命令，居然在这两天变化，服务器被黑是毫无疑问的了。
对比正常服务器上ps命令文件的大小du -h /bin/ps，大小不一样，显然命令是被替换了。删掉，然后从其他服务器拷贝ps命令进来，用绝对路径查看进程，居然报错
error while loading shared libraries: libsystemd.so.0: cannot open shared ob
使用ldd命令查看，可以查看命令依赖的库，这个入侵者显然是把依赖的库文件libsystemd.so.0删除了
最无奈也是最有效的方法是重新安装ps命令了，
yum -y install procps-ng
PS: procps-ng是free,kill,ps,top等命令的集合，procps-ng。x86_64:系统和流程监视实用程序
3.修复服务器命令
yum reinstall procps -y 修复ps
yum reinstall net-tools -y 修复netstat
yum reinstall lsof -y
yum -y reinstall e2fsprogs chattr lsattr
yum -y reinstall iproute ss
4.安装杀毒软件
yum -y install clamav*
启动
service clamd restart
更新病毒库
freshclam
扫描方法
clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log
clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log
clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log
clamscan -r --remove /usr/bin/bsd-port
clamscan -r --remove /usr/bin/
clamscan -r --remove /usr/local/zabbix/sbin
查看日志发现
/bin/netstat: Linux.Trojan.Agent FOUND为病毒
grep FOUND /root/usrclamav.log
/usr/bin/.sshd: Linux.Trojan.Agent FOUND
/usr/sbin/ss: Linux.Trojan.Agent FOUND
/usr/sbin/lsof: Linux.Trojan.Agent FOUND
5.后续监控的思路
增加系统核心文件变动的监控，目前只有/etc/passwd文件（zabbix模版自带）
