记一次解决阿里云服务器被植入挖矿病毒

最新推荐文章于 2025-06-27 16:01:07 发布

秃发映雁

最新推荐文章于 2025-06-27 16:01:07 发布

阅读量1.8k

点赞数 2

CC 4.0 BY-SA版权

文章标签：服务器运维 docker 阿里云

博主分享了如何发现并解决阿里云服务器被植入挖矿病毒的过程，包括检查进程、排查定时任务、定位到Docker容器，最终通过删除相关文件来解决。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前记

这是第二次发现自己的阿里云服务器被植入了挖矿程序。第一次没有经验，直接通过阿里云控制台把服务器给重置了，这一次，记录一下解决过程。

1，先进入自己的服务器，执行top 命令

top

查看进程

果然发现PID为：15053 barotrauma 这个进程cpu接近100%。
第一次使用kill 直接杀死改进程，打了两把游戏发现该进程又出现了，怀疑此挖矿病毒应该有自动定时重启的功能，于是使用执行查看定时任务命令。

crontab -l //直接查定时任务 crontab -l 并找到相关任务

发现并没有找到任何任务。
接着执行下面命令，也无果。

crontab -r 表示删除用户的定时任务，当执行此命令后，所有用户下面的定时任务会被删除

此方法无效。
2、此时开始查看该进程文件的位置。

  ll /proc/PID/exe

按照文件路径进入，发现此路径下无文件。

有些不死心，因为服务器安装了docker ，所以此时怀疑是因为docker中容器出先了问题。
换个命令接着查找barotrauma文件位置。

find / -name barotrauma

终于找到该文件位置，通过文件路径发现果然是docker中出了问题，按照出现的路径查找到并删除相应的文件。
最后再次执行kill 命令杀死该进程。

可惜的是，当时打开文件是一堆乱码，所以就直接删除了，下次再遇见此问题，要好好研究一下。