Linux 挖矿病毒排查：redis服务器安全分析指南

2024-01-18 08:11:32

挖矿病毒的传播方式：redis 入侵原理

Linux 挖矿病毒的传播方式多种多样，其中一种常见且具有危害性的途径是通过 redis 入侵服务器。攻击者利用 redis 的远程访问特性，通过特定的命令和脚本，可以轻松连接到服务器并执行恶意操作。

以下为 redis 入侵服务器的一般原理：

攻击者首先会扫描目标服务器，寻找存在 redis 服务的端口。
一旦找到目标服务器，攻击者便会尝试连接到 redis 服务。
成功的连接后，攻击者会使用特定的命令来写入 ssh 免密登录的公钥。
接着，攻击者会生成 ssh 公私钥文件，并写入待发送文件 ssh-keygen-trsa-C "xxx” echo-e"\n\n"; catid_rsa.pub。
最终，攻击者会利用写入的 ssh 免密登录公钥，远程访问服务器，实施恶意活动，例如植入挖矿程序等。

检查 redis 配置文件

首先，您需要检查 redis 配置文件 /etc/redis/redis.conf，确保 bind 地址仅允许本地访问。
禁用远程访问

如果 redis 服务不需要远程访问，您可以通过在配置文件中设置 bind 为 127.0.0.1 来禁用远程访问。
检查可疑进程

使用 ps aux | grep sshd 命令检查是否有可疑的 sshd 进程正在运行。如果发现可疑进程，请立即终止并调查。
检查 ssh 配置文件

检查 /etc/ssh/sshd_config 配置文件，确保 PermitRootLogin 和 PasswordAuthentication 设置为 no。
检查 ssh 公钥

使用 ls -l /root/.ssh/authorized_keys 命令列出所有 ssh 公钥，检查是否有未知或可疑的公钥。
检查可疑文件

使用 find / -name "ssh-keygen-trsa-C*” 命令查找可疑文件，例如 ssh-keygen-trsa-C "xxx” echo-e"\n\n"; catid_rsa.pub。
删除恶意文件和进程

如果发现恶意文件或进程，请立即删除并终止进程。
更新系统和软件

确保您的系统和软件是最新的，以修复已知漏洞。
启用安全机制

启用防火墙和入侵检测系统 (IDS) 等安全机制，以防止未来攻击。
定期监控系统