网站留言板漏洞动漫设计培训班收费
适用范围
适用于 Linux 3.10+ 生产环境，发现 load 高但用户态 CPU 接近 0 % 的场景。
1. 现场冻结
目标：在 rootkit 干预前保存易失数据。
#!/bin/bash
# freeze.sh
TS=$(date +%s)
mkdir -p /srv/ir/${TS}
cd /srv/ir/${TS}# 1.1 进程树（busybox 静态单文件，绕过 LD_PRELOAD）
curl -sLo bb https://busybox.net/downloads/binaries/1.36.1-x86_64-linux-musl/busybox
chmod +x bb
./bb ps -eo pid,ppid,cmd,pcpu,stat --sort=-pcpu > ps.txt# 1.2 内核调度器原始视图
cat /proc/sched_debug > sched.txt# 1.3 打开文件表（含 deleted）
lsof +L1 > lsof_deleted.txt
运行：
sudo bash freeze.sh
输出目录 /srv/ir/<timestamp>/ 打包后拉走离线分析。
2. 隐形进程定位
2.1 比对法
#!/usr/bin/env python3
# hidden_pid.py
import os, re, globproc_pids = {int(p) for p in glob.glob('/proc/[0-9]*')}
sched_pids = set()
with open('/proc/sched_debug') as f:sched_pids = {int(m.group(1)) for m in re.finditer(r'pid\s+:\s+(\d+)', f.read())}hidden = sched_pids - proc_pids
print("Hidden PIDs:", hidden)
执行：
python3 hidden_pid.py
若有输出，则继续 2.2。
2.2 提取样本
PID=<hidden_pid>
cp /proc/$PID/exe /srv/ir/${TS}/pid_${PID}.elf
strings /srv/ir/${TS}/pid_${PID}.elf | grep -i 'stratum\|xmrig'
若命中关键字，可定性为挖矿木马。
3. 网络侧交叉验证
使用 eBPF 无需抓完整 PCAP，仅统计外联端口与字节数。
// conn_count.c (clang + libbpf)
#include <vmlinux.h>
#include <bpf/bpf_helpers.h>struct {__uint(type, BPF_MAP_TYPE_HASH);__type(key, __u32); // daddr__type(value, __u64); // bytes__uint(max_entries, 1024);
} ipv4_tx SEC(".maps");SEC("tracepoint/syscalls/sys_enter_write")
int trace_write(struct trace_event_raw_sys_enter *ctx) {__u32 fd = ctx->args[0];struct sock *sk = ...; // 省略 sk 获取逻辑if (!sk || sk->__sk_common.skc_family != AF_INET) return 0;__u32 daddr = sk->__sk_common.skc_daddr;__u64 *bytes = bpf_map_lookup_elem(&ipv4_tx, &daddr);__u64 len = ctx->args[2];if (bytes) *bytes += len;else bpf_map_update_elem(&ipv4_tx, &daddr, &len, BPF_ANY);return 0;
}
char LICENSE[] SEC("license") = "GPL";
编译 & 运行：
clang -O2 -target bpf -c conn_count.c -o conn_count.o
sudo bpftool prog load conn_count.o /sys/fs/bpf/conn_count
sudo bpftool prog attach tracepoint /sys/kernel/debug/tracing/events/syscalls/sys_enter_write conn_count
sleep 30
sudo bpftool map dump name ipv4_tx
若出现大量流量涌向已知矿池网段，证据链完整。
4. 止血与恢复
| 步骤 | 动作 | 备注 |
|---|---|---|
| 4.1 | 从旁路接入清洗中心 | 将 0.0.0.0/0 → TCP/443 流量牵引至第三方高防 Anycast 清洗；源站仅接受清洗中心回源网段 |
| 4.2 | 本地进程 kill | kill -9 <hidden_pid> 后立即 echo f > /proc/sysrq-trigger 强制释放已删除文件句柄 |
| 4.3 | 内核完整性校验 | apt install debsums && debsums -cs 失败包重新安装 |
| 4.4 | 重启 | 确认 /var/log/syslog 无 ima: error 后单用户模式重启 |
5. 参考架构
- 边缘接入层：Anycast + 七层 WAF + Bot 管理
- 源站侧：仅开放 22/443 回源白名单，SSH 端口改为 922 并通过隧道访问
- 日志：清洗中心提供 JSON 格式原始日志，直接对接 SIEM，减少自建 ELK 节点数量