首先该问题目前还不清楚希望知道的人可以回复我mail fengtaotao2012x@163.com

今天执行一次常规服务器安全抽查的时候发现一台web服务器的一个奇怪的进程 而且更厉害的是cpu使用率高达百分之99

故事这样的 运行命令top

内容如下

 [root@mail log]# top

 Unknown HZ value! () Assume .

  :25am  up  days, :,   users,  load average: 1.76, 1.91, 1.97

  processes:  sleeping,  running,  zombie,  stopped

 CPU states:  1.3% user,  0.9% system,  0.0% nice, 97.7% idle

 Mem:  2075480K av, 2000952K used,   74528K free,       0K shrd,  193716K buff

 Swap: 2096472K av,   32464K used, 2064008K free                 1296772K cached

   PID USER     PRI  NI  SIZE  RSS SHARE STAT  LIB %CPU %MEM   TIME COMMAND

   root                 T         6.5  0.0 22094m ircbot

   daemon          10M   S         0.3  0.5   : httpd

  daemon          10M   S         0.3  0.5   : httpd

  daemon          10M   S         0.3  0.5   : httpd

  daemon          10M   S         0.3  0.5   : httpd

  daemon          10M   S         0.3  0.5   : httpd

   root           127M  19M   S         0.1  0.9  : mysqld

  daemon          10M   S         0.1  0.5   : httpd

  daemon          10M   S         0.1  0.5   : httpd

  daemon          10M   S         0.1  0.5   : httpd

  daemon          10M   S         0.1  0.4   : httpd

      root                 S         0.0  0.0   : init

      root      0K                  SW        0.0  0.0   : migration/

      root                       SWN       0.0  0.0   : ksoftirqd/

      root      0K                  SW        0.0  0.0   : watchdog/

      root      0K                  SW        0.0  0.0   : migration/

      root                       SWN       0.0  0.0   : ksoftirqd/

      root      0K                  SW        0.0  0.0   : watchdog/

      root      0K                  SW        0.0  0.0   : migration/

      root                       SWN       0.0  0.0   : ksoftirqd/

     root      0K                  SW        0.0  0.0   : watchdog/

     root      0K                  SW        0.0  0.0   : migration/

当我看到第一行的时候第一感觉就是病毒- -！

 [root@mail log]# top

 Unknown HZ value! () Assume .

  :25am  up  days, :,   users,  load average: 1.76, 1.91, 1.97

  processes:  sleeping,  running,  zombie,  stopped

 CPU states:  1.3% user,  0.9% system,  0.0% nice, 97.7% idle

 Mem:  2075480K av, 2000952K used,   74528K free,       0K shrd,  193716K buff

 Swap: 2096472K av,   32464K used, 2064008K free                 1296772K cached

   PID USER     PRI  NI  SIZE  RSS SHARE STAT  LIB %CPU %MEM   TIME COMMAND

   root                 T         6.5  0.0 22094m ircbot

这样的数据太吓人了  好吧根据id找下程序的位置

运行:

 [root@mail log]# ls -l /proc//

 total

 dr-xr-xr-x    root     root             Jun  : attr

 -r--------    root     root             Jun  : auxv

 -r--r--r--    root     root             Jun  : cmdline

 -r--r--r--    root     root             Jun  : cpuset

 lrwxrwxrwx    root     root             Jun  : cwd -> /

 -r--------    root     root             Jun  : environ

 lrwxrwxrwx    root     root             Jun  : exe -> /usr/share/icbm/ircbot

 dr-x------    root     root             Jun  : fd

 -rw-r--r--    root     root             Jun  : loginuid

 -r--------    root     root             Jun  : maps

 -rw-------    root     root             Jun  : mem

 -r--r--r--    root     root             Jun  : mounts

 -r--------    root     root             Jun  : mountstats

 -rw-r--r--    root     root             Jun  : oom_adj

 -r--r--r--    root     root             Jun  : oom_score

 lrwxrwxrwx    root     root             Jun  : root -> /

 -r--r--r--    root     root             Jun  : schedstat

 -r--------    root     root             Jun  : smaps

 -r--r--r--    root     root             Jun  : stat

 -r--r--r--    root     root             Jun  : statm

 -r--r--r--    root     root             Jun  : status

 dr-xr-xr-x    root     root             Jun  : task

 -r--r--r--    root     root             Jun  : wchan

ls -l /proc/2499/ext

 [root@mail log]# ls -l /proc//exe

 audit/          conman.old/     httpd/          messages.      secure.        spooler.

 boot.log        cron            lastlog         messages.      secure.        squid/

 boot.log.      cron.          mail/           messages.      secure.        vbox/

 boot.log.      cron.          maillog         messages.      secure.        wtmp

 boot.log.      cron.          maillog.       mysqld.log      setroubleshoot/ wtmp.

 boot.log.      cron.          maillog.       ppp/            spooler         xferlog

 boot.log.bak    cups/           maillog.       prelink/        spooler.       yum.log

 clamav/         dmesg           maillog.       samba/          spooler.

 conman/         gdm/            messages        secure          spooler.    
 [root@mail log]# ls -l /proc//exe

 lrwxrwxrwx    root     root             Jun  : /proc//exe -> /usr/share/icbm/ircbot

这里说明下exe为一个快捷方式Linux为软连接方法为：ln -s xxx xxx     上述的意思为 2499的进程目录会跳转到 /usr/share/icbm/ircbot

想打开这个文件看下内容不过发现打开的是乱码，cp下来在windows下很多编程工具软件也是打开乱码，可能是动了手脚

这个是我cp下来的目录http://pan.baidu.com/share/link?shareid=2265703552&uk=4045574093 有兴趣的可以看下

 [root@mail ~]# ll -d /usr/share/icbm/

 drwxr-xr-x    root     root          Apr   : /usr/share/icbm/

 [root@mail ~]# ll /usr/share/icbm/*

 -rwxrwxrwx   1 root     root         1005 Jul 27  2012 /usr/share/icbm/flood.pl

 -rwxrwxrwx   1 root     root          135 Dec 14  2010 /usr/share/icbm/geekymedia.repo

 -rwxrwxrwx   1 root     root         1384 Oct 27  2012 /usr/share/icbm/getproxies.php

 -rwxr-xr-x   1 root     root        27788 Apr  8 01:09 /usr/share/icbm/ircbot

 -rwxrwxrwx   1 root     root       204562 Apr  7 09:40 /usr/share/icbm/proxies.txt

 -rwxrwxrwx   1 root     root        12700 Sep 18  2012 /usr/share/icbm/rpmforge.rpm

 -rwxrwxrwx   1 root     root        17072 Apr 12  2012 /usr/share/icbm/slowloris.pl

 -rwxrwxrwx   1 root     root        11087 Oct 26  2012 /usr/share/icbm/syn.pl

 -rwxrwxrwx   1 root     root          699 Jul 27  2012 /usr/share/icbm/udp.py

 [root@mail ~]#

发现的问题是 这里面只有

 7 -rwxr-xr-x   1 root     root        27788 Apr  8 01:09 /usr/share/icbm/ircbot

 8 -rwxrwxrwx   1 root     root       204562 Apr  7 09:40 /usr/share/icbm/proxies.txt
这两个是在今年的4月份先后出现的。
目前也只能先将其rm -f掉了，当然我有beckup 
等待网友们的热心支援！ 问了几个老运维说 入侵以后最好是把资料CP出来然后重做系统，但我不想那样，希望找到一个优的方法。
删除掉以后 reboot了下 开机半小时 使用top 命令查看服务器的进程稳定下来了，而且 free -m查看 swap的使用为0了
   :48pm  up  min,   user,  load average: 0.33, 0.31, 0.13

  processes:  sleeping,  running,  zombie,  stopped

 CPU states:  0.7% user,  0.0% system,  0.0% nice, 99.2% idle

 Mem:  2075480K av,  665456K used, 1410024K free,       0K shrd,   16496K buff

 Swap: 2096472K av,       0K used, 2096472K free                  297804K cached

   PID USER     PRI  NI  SIZE  RSS SHARE STAT  LIB %CPU %MEM   TIME COMMAND

   daemon          10M   S         0.3  0.5   : httpd

   daemon          10M   S         0.3  0.5   : httpd

   daemon          10M   S         0.3  0.5   : httpd

   daemon          10M   R         0.3  0.5   : httpd

   daemon          10M   S         0.3  0.5   : httpd

   root           124M  16M   S         0.1  0.8   : mysqld

   daemon          10M   S         0.1  0.5   : httpd

   daemon          10M   S         0.1  0.5   : httpd

   daemon          10M   S         0.1  0.5   : httpd

   daemon          10M   S         0.1  0.5   : httpd

   daemon          10M   S         0.1  0.5   : httpd

   root               R         0.1  0.0   : top

      root                 S         0.0  0.0   : init

      root      0K                  SW        0.0  0.0   : migration/

      root                       SWN       0.0  0.0   : ksoftirqd/

      root      0K                  SW        0.0  0.0   : watchdog/

      root      0K                  SW        0.0  0.0   : migration/

      root                       SWN       0.0  0.0   : ksoftirqd/

      root      0K                  SW        0.0  0.0   : watchdog/

      root      0K                  SW        0.0  0.0   : migration/

      root                       SWN       0.0  0.0   : ksoftirqd/

     root      0K                  SW        0.0  0.0   : watchdog/

     root      0K                  SW        0.0  0.0   : migration/

     root                       SWN       0.0  0.0   : ksoftirqd/

     root      0K                  SW        0.0  0.0   : watchdog/

 [root@mail ~]# free -m

              total       used       free     shared    buffers     cached

 Mem:

 -/+ buffers/cache:

 Swap:

在使用 top -p 2499  没有了。

不过还是很担心 因为怕病毒修改了系统的bin文件 哎还是精简测下这几天的服务器吧！

到目前为止的检测还算正常

Linux的一个问题ircbot进程的更多相关文章

  1. Linux下一个简单守护进程的实现 (Daemon)

    在Linux/UNIX系统引导的时候会开启很多服务,这些服务称为守护进程(也叫Daemon进程).守护进程是脱离于控制终端并且在后台周期性地执行某种任务或等待处理某些事件的进程,脱离终端是为了避免进程 ...

  2. linux暂停一个在运行中的进程【转】

    转自:https://blog.csdn.net/Tim_phper/article/details/53536621 转载于: http://www.cszhi.com/20120328/linux ...

  3. window 和 linux 环境下杀死tomcat进程——也可以解决其他端口被占用的问题

    1.应用场景 在Windows或者linux操作系统中,我们在启动一个tomcat服务器时,经常会发现8080端口已经被占用的错误,而我们又不知道如何停止这个tomcat服务器. 2.window环境 ...

  4. Linux下取代top的进程管理工具 htop

    一.htop 简介 This is htop, an interactive process viewer for Linux. It is a text-mode application (for ...

  5. 【Linux】为啥查某个进程的线程，查出来的所有线程的pid不一样啊

    楼上说的linux线程和进程是一样的,这个说法是错误的. 看了楼主的问题,感觉楼主是被PID给弄混了,线程进程都会有自己的ID,这个ID就叫做PID,PID是不特指进程ID,线程ID也可以叫做PID. ...

  6. Linux 下监控用户最大进程数参数（nproc）是否到达上限

    Linux 下监控用户最大进程数参数(nproc)是否到达上限的步骤: 1.查看各系统用户的进程(LWP)数: 注意:默认情况下采用 ps 命令并不能显示出所有的进程.因为 Linux 环境下执行多线 ...

  7. Linux编程之《守护进程》

    Intro ----- 守护进程,也就是通常说的Daemon进程,是Linux中的后台服务进程.它是一个生存期较长的进程,通常独立于控制终端并且周期性地执行某种任务或等待处理某些发生的事件.守护进程常 ...

  8. Linux内存点滴：用户进程内存空间

    原文出处:PerfGeeks 经常使用top命令了解进程信息,其中包括内存方面的信息.命令top帮助文档是这么解释各个字段的.VIRT , Virtual Image (kb)RES, Residen ...

  9. Linux内核学习笔记-2.进程管理

    原创文章,转载请注明:Linux内核学习笔记-2.进程管理) By Lucio.Yang 部分内容来自:Linux Kernel Development(Third Edition),Robert L ...

随机推荐

  1. web.xml配置文件

    一.web.xml里面的标签 <display-name> <context-param> <listener> <filter> 和 <filt ...

  2. iOS中偏好设置的创建，数据写入与读取

    NSUserDefaults与NSDictinary? 应用通过NSUserDefaults用键值对的方式来读取和保存偏好设置数据,与通过键从NSDictionary对象中获取数据一样,不同之处在于N ...

  3. CMD命令下对文件夹进行权限处理 转

    保证自己的磁盘分区格式是NTFS.FAT32是不行的. 一.Cacls.exe命令的使用 这是一个在Windows 2000/XP/Server 2003操作系统下都可以使用的命令,作用是显示或者修改 ...

  4. 给 Xamarin.Form For Windows Phone APP 加个漂亮的 "头"

    Windows Phone 是那个1%, 我也是那个1%, 不喜勿喷.WP 向来给 android / ios 的粉们一个最直观的印象: 丑.其实"丑"这个东西会一直下去,而且是个 ...

  5. 开源分布式计算引擎 & 开源搜索引擎 Iveely 0.5.0 为大数据而生

    Iveely Computing 产生背景 08年的时候,我开始接触搜索引擎,当时遇到的第一个难题就是大数据实时并发处理,当时实验室的机器我们可以随便用,至少二三十台机器,可以,却没有程序可以将这些机 ...

  6. jQuery Easy UI 开发笔记

    1.jQuery Easy UI主要的运行原理是通过核心的代码调用插件来实现UI效果的 2.jQuery Easy UI插件与插件之间的关系是: 一.独立式插件: 独立式插件是指:不与其他的插件具有相 ...

  7. 关于 jquery select2 多个关键字 模糊查询的解决方法

    select2 只针对 元素的text()进行匹配,实际开发过程中可能会存在通过id 或者特殊编码进行 多关键字匹配. 改动了下源码:红色为改动部分. process=function(element ...

  8. ipvsadm参数详解（常用命令）

    [root@localhost ipvsadm]# ipvsadm -h ipvsadm v1.24 2005/12/10 (compiled with popt and IPVS v1.2.1) U ...

  9. 调研eclipse安卓平台的开发环境

    首先,我想抒发一下自己的感想.真的没想到这第一次的作业会这样的一波三折,本来以为自己已经弄好了eclipse,也弄过Java,安卓的环境配置应该不在话下,所以一拖再拖,从17号,也就是昨天开始,才着手 ...

  10. Ibatis学习总结4--SQL Map XML 映射文件扩展

    SQL Map XML 映射文件除了上文提到的属性还有一些其他重要的属性,下文将详细介绍这些属性. 缓存 Mapped Statement 结果集 通过在查询 statement 中指定 cacheM ...