前言

6月16日晚，一位朋友咨询说私有云机房服务器有占用cpu比较高的进程无法kill，我通过向日葵远程跳板机分析了下，发现一些不同于以往挖矿病毒有趣的现象，总结下

1、初查

初步筛查，发现crontab、top如其他挖矿病毒差不多

1.1 进程名称模仿系统进程

初步看进程名kthreaddk，这个挖矿的进程名挺像内核进程kthreadd，但是系统内核进程不太可能cpu占用异常，就继续往下检查 查看crontab，发现异常，结果多次执行，发现路径会变……，总结下规律，发现一直在/dev/cpu/、/dev/mapper/、/dev/disk/、/dev/一直出现在这几层跳跃

阅读全文

前言

git如果碰到敏感信息提交，需要清理历史提交记录，在不删库的前提下，如何亡羊补牢呢？可以用下面的重写分支操作清理提交历史记录

1、重写分支

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

git filter-branch --index-filter 'git rm -r --cached --ignore-unmatch src/main/resources/demo.txt' HEAD

# 如果出现冲突要增加-f
git filter-branch  -f --index-filter

# 管理reflog信息
git reflog expire --expire=now --all  

# 清理不必要的文件并优化本地存储库
git gc --prune=now  
git gc --aggressive --prune=now

# 强制推送主分支
git push --all --force

阅读全文

前言

shell编写入门的时候，有幸看到比较经典的 shell 13问，碰到有大佬整理成 markdown 格式，转载过来

1、为何叫做 Shell？

我们知道计算机的运作离不开硬件，但却无法直接操作硬件，硬件的驱动只能通过一种称之为“操作系统（OS，Opertating System）的软件来管控。Linux 严格来说是一个操作系统（OS）。

阅读全文

前言

最近答疑群友如何后台运行 ssh 连接后的操作，整理了下日常常见的后台执行方式，方便知识梳理。

1、nohup方式

1
2

# nohup sh shell.sh &
查看日志：tail -f nohup.out

2、disown方式

1
2

# sh shell.sh & disown
查看日志：断开终端后，不能再查看日志

3、screen方式

执行screen，如果命令不存在，需要先安装：

1

# yum install screen -y

新建一个屏幕：

1

# screen -S screen_name

执行命令：

1

# sh shell.sh

依次按 Ctrl+A 与 D (无 Ctrl) 脱离该屏幕，此时程序仍运行在后台。

阅读全文

前言

在日常繁琐的运维工作中，对 linux 服务器进行安全检查是一个非常重要的环节。这篇整理如何检查 linux 系统是否遭受了入侵，以及几次真实的入侵处置过程。与应急响应手册配合食用更佳。

一、是否入侵检查（排查清单）

1）检查系统日志

1
2

# 检查系统错误登录日志，统计IP重试次数（last 查看系统登录日志，比如系统被 reboot 或登录情况）
last

2）检查系统用户

阅读全文

前言

无意间找到nginx下的日志切割组件，比以前用脚本每日备份好多了，研究了一番用法

1、关于日志切割

　　日志文件包含了关于系统中发生的事件的有用信息，在排障过程中或者系统性能分析时经常被用到。对于忙碌的服务器，日志文件大小会增长极快，服务器会很快消耗磁盘空间，这成了个问题。除此之外，处理一个单个的庞大日志文件也常常是件十分棘手的事。
　　logrotate是个十分有用的工具，它可以自动对日志进行截断（或轮循）、压缩以及删除旧的日志文件。例如，你可以设置logrotate，让/var/log/foo日志文件每30天轮循，并删除超过6个月的日志。配置完后，logrotate的运作完全自动化，不必进行任何进一步的人为干预。

阅读全文

前言

vmstat是virtual memory statistics 的缩写，它是Linux下一个非常有用的监控工具，除了内存之外，还提供 块 IO、CPU 时间 等额外的信息

1、语法

vmstat 命令的执行不需要特殊的权限，普通用户就可以执行，其语法形式如下

1

vmstat [options] [delay [count]]

delay 表示数据更新间隔，单位是秒，如果没有指定此值，表示系统启动以来的平均时间，而且此时只输出一次结果
count 表示输出次数，如果没有指定该值，但是指定了 delay 的值，则表示无限次

阅读全文

前言

1月26日，运维同学收到告警邮件，告诉我某台测试服务器中了挖矿病毒，心想怎么最近挖矿这么猖狂…

1、分析准备

仍然下载是busybox

1
2
3
4

wget https://busybox.net/downloads/binaries/1.30.0-i686/busybox 
chmod +x busybox
cp busybox /usr/bin 
busybox  top

2、按步骤排查

剩余步骤跟挖矿病毒2-分析和排查思路一样，只是所有的命令前面是 busybox command
不过这次是容器挖矿，ECS 排查步骤仍然走一遍，但是没啥收货，但是恶意进程还是可以找到的

阅读全文

前言

1月23日，公司邮箱收到说阿里云报了挖矿病毒的警告

1、分析

这次思路改进了些，起初有个只是定时任务没被清理，阿里云通过定时任务关键字"pool.minexmr.com:4444"报了蠕虫病毒，但是根据关键字查看，这像挖矿
然后 top 了半天没看到结果，怀疑是top被篡改了？然后进了/usr/bin/核对下 top 的时间，发现没差异呀，但是本着稳妥起见，还是下载 busybox

阅读全文

前言

LVS + Keepalived 是经典的四层负载均衡高可用方案：LVS 负责流量转发，Keepalived 负责健康检查与主备切换。这篇整理两者的原理与完整安装配置过程（文中的 IP 均为示例地址）。

一、Keepalived 的三种工作方式

Keepalived 工作在 IP/TCP 协议栈的 IP 层、TCP 层及应用层，对应 Layer3、Layer4、Layer7 三种检测方式：

• Layer3（IP层）：Keepalived 定期向服务器群中的服务器发送 ICMP 数据包（即 Ping），如果发现某台服务器的 IP 地址没有激活，便报告这台服务器失效并将它从服务器群中剔除。典型例子是某台服务器被非法关机。Layer3 以服务器的 IP 地址是否有效作为服务器工作正常与否的标准。
• Layer4（TCP层）：主要以 TCP 端口的状态来决定服务器工作是否正常。如 web server 的服务端口一般是 80，如果 Keepalived 检测到 80 端口没有启动，则将这台服务器从服务器群中剔除。
• Layer7（应用层）：工作在具体的应用层，比 Layer3、Layer4 要复杂一点，在网络上占用的带宽也要大一些。Keepalived 根据用户的设定检查服务器程序的运行是否正常（例如请求一个特定 URL 比对返回内容），与设定不符则剔除。

二、LVS 安装（Active/Standby 模式）

LVS 部署两台，为 Active/Standby 模式：

阅读全文