1. 异常告警CPU飙升至100%的紧急信号那天早上我刚打开电脑阿里云的告警短信就跳了出来您的ECS实例存在挖矿活动。登录控制台一看CPU使用率曲线直接顶到了100%红线风扇狂转的声音仿佛在耳边响起。这种情况我太熟悉了——服务器十有八九中了挖矿病毒。快速诊断三板斧我立即用SSH连上服务器执行了三个救命命令top -c # 查看实时进程按CPU排序 ps -eo pid,ppid,cmd,%cpu --sort-%cpu | head -n 10 # 静态进程快照 netstat -antp | grep ESTABLISHED # 检查异常网络连接在top命令的输出里一个叫xmrig的进程格外扎眼它吃掉了98.7%的CPU资源。百度一查这正是臭名昭著的Monero门罗币挖矿程序。更可疑的是netstat显示它正在与某个境外IP保持长连接——典型的矿池通信特征。2. 病毒溯源Docker容器竟成突破口2.1 定位病毒文件路径通过进程PID找到执行文件位置ls -l /proc/22220/exe # 显示符号链接指向的真实路径输出显示/root/.cfg/xmrig但直接用cd命令却进不去这个目录。这里有个坑病毒文件其实藏在Docker容器内部。通过全局搜索才找到真实路径find / -name xmrig 2/dev/null最终定位到/var/lib/docker/overlay2/xxx/merged/root/.cfg/xmrig——典型的容器内路径结构。2.2 漏洞回溯SSH弱密码惹的祸检查最近的操作记录时我发现三天前为了调试方便做了个危险操作在Docker容器内安装了openssh-server把容器的22端口映射到宿主机的2222端口设置了弱密码123456用历史命令一看就破案了docker run -p 2222:22 -e ROOT_PASSWORD123456 some_image黑客通过暴力破解轻松入侵容器然后利用容器逃逸漏洞感染了宿主机。更可气的是病毒还修改了容器内的root密码典型的鸠占鹊巢手法。3. 彻底清除斩草除根的操作指南3.1 立即止损措施首先紧急隔离问题容器docker stop suspicious_container # 停止容器 iptables -A INPUT -p tcp --dport 2222 -j DROP # 封禁漏洞端口3.2 病毒清理四步走终止进程kill -9 22220 # 强制结束挖矿进程 pkill -f xmrig # 补刀所有相关进程删除病毒文件rm -rf /var/lib/docker/overlay2/xxx/merged/root/.cfg find / -name *xmrig* -exec rm -rf {} \; 2/dev/null检查定时任务crontab -l # 查看当前用户任务 ls /etc/cron.* # 检查系统级任务清理SSH后门rm -f /root/.ssh/authorized_keys # 删除非法公钥 chmod 600 /root/.ssh/authorized_keys # 重置权限3.3 深度检测技巧用strace追踪可疑进程strace -p 22220 -o /tmp/xmrig_trace.log发现病毒还尝试连接了这些敏感路径/etc/ld.so.preload动态链接库劫持/etc/passwd添加后门账户/var/spool/cron/root持久化任务4. 安全加固从血泪史中总结的经验4.1 Docker安全四原则最小化暴露永远不要映射SSH端口到公网。必须远程调试时可以用docker exec -it container_name bash密码策略容器内必须设置强密码建议使用openssl rand -base64 12 # 生成随机密码资源限制运行容器时添加限制docker run --cpus 2 --memory 2g ...镜像扫描定期检查镜像漏洞docker scan your_image4.2 宿主机的防护组合拳关键文件监控auditctl -w /etc/passwd -p wa -k user_change auditctl -w /root/.ssh -p wa -k ssh_change入侵检测系统# 安装aide aideinit mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db网络层防护# 封禁常见矿池端口 iptables -A OUTPUT -p tcp --dport 3333 -j DROP5. 事后复盘监控体系的升级方案这次事件让我重构了监控策略现在分享几个实用脚本异常进程检测脚本#!/bin/bash # 监控CPU异常进程 threshold80 while true; do pid$(top -bn1 | awk /xmrig/ $9threshold {print $1}) [ -n $pid ] alert 挖矿进程 $pid detected! sleep 60 doneDocker安全巡检脚本docker ps --format {{.ID}} | while read id; do # 检查特权模式 docker inspect $id | grep -q Privileged.*true echo 警告: 容器 $id 运行在特权模式! # 检查敏感目录挂载 docker inspect $id | grep -q /etc echo 警告: 容器 $id 挂载了/etc目录 done这次事件给我最深的教训是安全没有捷径。那些为了省事留下的后门最终都会变成黑客的康庄大道。现在我的每台服务器上都运行着这个监控看门狗它已经帮我拦截了三次入侵尝试——安全防护永远不嫌多。
