继续做我的网管！
昨天同事就反映邮件服务器慢，早上用top看了一下。CPU接近100%，900多个进程。不管有没有经验，这样的指标肯定是有问题。
到网上查了一下，应该是被植入了非法程序。
因为主机CPU都被占满，执行命令非常慢。所以用find / -name ps-scan后，在另一个终端里不断的把CPU占用高的进程kill掉，以保证find能有足够的CPU资源。
find不辱使命，在/usr/local/game/.a/文件夹中找到了这个程序，.a文件夹被隐藏。先把所有文件的权限改成0，chmod -R 000 *。然后用ps | grep scan。把输出考到UE中编辑一下，都kill掉。再回头删指.a文件夹和内容，再看CPU恢复正常。
留个参考网址：http://www.vvvk.net/archives/311
另外检查：
/etc/rc.d/rc.local 是否有可疑的启动文件
more /var/log/messages 检查日志
cat /etc/passwd 检查可疑用户
作者：basecn 发表于2010-5-20 10:56:00 原文链接
阅读：139 评论：0 查看评论