服务器中毒导致的wget等系统命令失效后的恢复

在阿里云主机上，安装监控插件，根据官方提示，输入命令

:~$ sudo ARGUS_VERSION=3.4.10 /bin/bash -c "$(datacURL -s https://cms-agent-cn-hangzhou.oss-cn-hangzhou-internal.aliyuncs.com/Argus/agent_install_ecs-1.2.sh)"
installing
networkType is classic
download from http://cloudmonitor-agent.oss-cn-hangzhou-internal.aliyuncs.com/Argus/3.4.10/cloudmonitor_linux64.tar.gz
download failed: {/usr/local/cloudmonitor/cloudmonitor_linux64.tar.gz}

单独运行wget尝试

:~$ wget http://cloudmonitor-agent.oss-cn-hangzhou-internal.aliyuncs.com/Argus/3.4.10/cloudmonitor_linux64.tar.gz

发现没有任何反应

查看wget命令文件

:~$ ls /usr/bin/wget -l
-rwxr-xr-x 1 root root 0 Feb  2 02:55 /usr/bin/wget

发现wget命令是一个空文件。
联想到这台服务器曾经种过病毒，虽然病毒清除，但是可能对操作系统造成了一些破坏。

尝试删除无效的wget文件

:~$ sudo rm /usr/bin/wget
rm: cannot remove '/usr/bin/wget': Operation not permitted

居然无法删除。这可能是设置了保护属性，使用lsattr确认

----ia--------e--- /usr/bin/wget

ia表示被设置过保护，无法修改。需要用chattr去掉保护

:~$ sudo chattr -i /usr/bin/wget
sudo: chattr: command not found

chattr命令文件没有执行权限，所以加执行

:~$ sudo chmod +x /usr/bin/chattr
chmod: changing permissions of '/usr/bin/chattr': Operation not permitted
:~$ lsattr /usr/bin/chattr
----ia--------e--- /usr/bin/chattr
:~$ ll /usr/bin/chattr
-rw-r--r-- 1 root root 0 Feb  2 03:13 /usr/bin/chattr

居然chattr命令自己也被替换成了空文件，并且还加了保护！导致删除都无法删除。
至此，可以判断此病毒干了很多坏事：

将一些常用的命令替换成了无效的文件
将这些无效的文件设置成了保护权限，因此无法被删除和替换
将去处保护命令所需要的命令chattr也做了上述两项操作

经过这一番操作，这台服务器自己是彻底无法恢复正常了。因此我们需要借助另一台正常的服务器帮助这台服务器恢复。

利用scp命令，将另一台服务器上的chattr, wget命令文件拷贝到一个临时目录，例如~/tmp

:~$ sudo scp xxx@xxxxx:/usr/bin/chattr ~/tmp/
:~$ sudo scp xxx@xxxxx:/usr/bin/wget ~/tmp/

利用新的chattr命令，解锁无效的文件保护

:~$ sudo chmod +x ~/tmp/chattr
:~$ sudo ~/tmp/chattr -ia /usr/bin/chattr
:~$ sudo ~/tmp/chattr -ia /usr/bin/wget

将新的文件拷贝进去

:~$ sudo cp ~/tmp/chattr /usr/bin/chattr
:~$ sudo cp ~/tmp/wget /usr/bin/wget
:~$ sudo chmod +x /usr/bin/chattr
:~$ sudo chmod +x /usr/bin/wget

至此，服务器恢复正常。
如果还有其他命令或文件异常，可以以同样的方式恢复。

服务器中毒导致的wget等系统命令失效后的恢复

推荐阅读更多精彩内容