阿裡雲伺服器被挖礦minerd***的解決辦法

今天老大手機報警 我檢查發現阿裡雲伺服器CPU很高，執行 top 一看，有個程序minerd盡然占用了90%多的CPU, 趕緊百度一下，查到幾篇文章都有人遇到同樣問題

Hu_Wen遇到的和我最相似，下邊是他的解決辦法

http://blog.csdn.net/hu_wen/article/details/51908597 但我去檢視啟動的服務，盡然沒有 lady 這個服務。 找不到始作俑者，那個minerd程序删掉就又起來了，後來想了個臨時辦法，先停掉了挖礦的程序

1. 關閉通路挖礦伺服器的通路

2. iptables -A INPUT -s xmr.crypto-pool.fr -j DROP

3. iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP

   .

2. chmod -x minerd  ,取消掉執行權限， 在沒有找到根源前，千萬不要删除 minerd，因為删除了，過一回會自動有生成一個。

3. pkill minerd  ,殺掉程序

4. service stop crond 或者 crontab -r 删除所有的執行計劃

5. 執行top，檢視了一會，沒有再發現minerd 程序了。

解決minerd并不是最終的目的，主要是要查找問題根源，我的伺服器問題出在了redis服務了，***利用了redis的一個漏洞獲得了伺服器的通路權限，

http://blog.jobbole.com/94518/

然後就注入了病毒

下面是解決辦法和清除工作

1. 修複 redis 的後門,

1. 配置bind選項, 限定可以連接配接Redis伺服器的IP, 并修改redis的預設端口6379.
2. 配置AUTH, 設定密碼, 密碼會以明文方式儲存在redis配置檔案中.
3. 配置rename-command CONFIG “RENAME_CONFIG”, 這樣即使存在未授權通路, 也能夠給***者使用config指令加大難度
4. 好消息是Redis作者表示将會開發”real user”，區分普通使用者和admin權限，普通使用者将會被禁止運作某些指令，如conf

2. 打開 ~/.ssh/authorized_keys, 删除你不認識的賬号

3. 檢視你的使用者清單，是不是有你不認識的使用者添加進來。 如果有就删除掉.