记一次服务器被黑处理过程

今天开发说服务器很卡,让看看是什么情况，然后就有了下面的内容。

咋一看kswapd0是一个内核进程，但是仔细看你会发现，USER是novel,一看就不正常。正常应该是root
接下来顺藤摸瓜，继续看

很明显，路径也不对，内核进程一般不会放到普通用户home目录下
继续看下这个.configurc目录有什么东西

到这里就基本确定是被黑了，init0脚本写的很明显，就是一个挖矿程序
再看下novel用户计划任务

以上可以看到，服务器是被黑了用来挖矿了
现在来处理掉这个挖矿程序

kill -9 13949
rm -rf /home/novel/*
rm -rf ./.configrc ./.ssh
userdel  -r novel

后续加固，可以把ssh设置成不允许使用密码登录，而是使用更安全的密钥来登录。