买的阿里云CentOS 6.5，阿里云后台监控到服务器有肉鸡行为，不停向外发包

su8610

我之前自己的VPS也碰见这个问题，突然间网络流量剧增，7天发了1T的流量，搞得我的VPS被停机。后面重启之后用iftop，发现一直往几个美国的IP发包，但是我不知道怎么找出来是那些进程，因为我ps -ef看了都是一些看起来正常的东西。实在没办法，我把所有TCP端口相关的进程全干掉了，剩下一个22.把iptables的默认全都 DROP掉了。

SeAL80s

不至于发包就是肉鸡吧，你要看发的什么包啊。包发给谁的。像阿里云这样的云主机，被肉鸡的可能性不是太大吧...

royzs

回复 11# su8610


    高，有思路了

royzs

谢谢               

ldcrgmy

我之前也是阿里云的主机，也是报有肉鸡行为，后来查到一个随机10字符的可疑进程，不断消耗着带宽，就是它搞的鬼，你可以看下你的是不是！

royzs

回复 15# ldcrgmy


    您后来是怎么处理的呢

ldcrgmy

我当时是在网上搜的方法，下边是自己当时处理的时候做的一个简要的步骤记录（具体操作你可以在网上搜一下）：

"""
病毒进程名：随机长度为10的字符串（通过ps查看进程号显示为普通命令（cat /etc/resolv.con、sleep 1等），只是为了迷惑。。。。）
病毒行为：
        病毒主体为/lib下一个libxxx.so文件，通过file命令可查看该文件并不是正常的lib库文件，而是一个386的可执行文件
        在/etc/init.d、/etc/rc.d/rcx.d下都有相关启动项（名称同病毒进程名）
        在/etc/cron.hourly下有kill.sh cron.sh等定时脚本
        随机在/usr/bin、/bin等可执行程序常用目录下创建程序（名字为随机10长度字符串）
解决办法：
1、        通过strace命令获取到主体恶意程序所在位置以及傀儡程序的位置
2、        删除所有的可疑程序文件、可疑定时任务、可疑启动脚本
3、        通过chattr +i设置所有之前存在过可疑程序或可疑定时任务的目录的权限，不让任何人修改其目录的内容
"""

liaosnet

这个应该是阿里的硬件在os上装的，类似于vmware tools之类的工具。。

windoze

哇哈哈哈哈哈哈你中了阿里云盾了，难道你不知道买阿里云主机免费送流氓一个？

你们这些燕雀赶快找云舒那个鸿鹄去要说法吧，不过话说这货貌似由于被3.25所以已经不在阿里干了。