fea5e0fac5
- 客户端压缩：保持原格式（JPG保持JPG，PNG保持PNG），不再强制转换为WebP - 提高压缩质量：最低质量从0.6提高到0.90，避免画质损失 - 启用高质量图像平滑：减少锯齿，提升画质 - 服务器端智能优化：使用MozJPEG和PNG优化算法 - 避免双重压缩：小文件(<3MB)跳过服务器端优化，只有优化效果明显(>5%)才使用 - 优化策略：优先缩小尺寸而不是降低质量，留余量给服务器端优化 技术改进： - JPEG: MozJPEG编码器，质量92%，渐进式，优化扫描 - PNG: 压缩级别6，自适应过滤，调色板优化 - 智能判断：避免不必要的双重压缩，保护画质
241 lines
8.1 KiB
Markdown
241 lines
8.1 KiB
Markdown
# 服务器挖矿程序检查报告
|
||
|
||
## 检查时间
|
||
2025年1月1日 12:43
|
||
|
||
## 检查摘要
|
||
|
||
### ✅ 总体状态：未发现活跃的挖矿程序
|
||
|
||
---
|
||
|
||
## 1. 进程检查
|
||
|
||
### 1.1 挖矿相关进程
|
||
- ✅ **未发现明显的挖矿进程**
|
||
- 检查的关键词：`miner`, `xmrig`, `monero`, `coinhive`, `cpuminer`, `minerd`
|
||
- **结果**：未发现任何匹配的进程
|
||
|
||
### 1.2 已知恶意进程检查
|
||
- ✅ **未发现已知恶意进程**
|
||
- 检查的进程：`kinsing`, `kdevtmpfsi`, `.system3d`, `uhavenobotsxd`, `est1`, `ladyg0g0`
|
||
- **结果**：所有已知恶意进程均未在运行
|
||
|
||
### 1.3 CPU使用率检查
|
||
- **当前CPU使用率**：0.7% user, 1.1% system, 96.8% idle
|
||
- **最高CPU使用的进程**：
|
||
1. `next-server` (6.0%) - 正常的Next.js应用服务器
|
||
2. `sshd-session` (3.0%) - SSH会话，正常
|
||
3. `crowdsec` (2.3%) - 安全监控服务，正常
|
||
- **结论**：CPU使用率正常，无异常高CPU占用进程
|
||
|
||
---
|
||
|
||
## 2. 系统资源使用
|
||
|
||
### 2.1 系统负载
|
||
- **当前负载**：0.83 (1分钟), 3.56 (5分钟), 2.79 (15分钟)
|
||
- **CPU状态**：空闲率 96.8%
|
||
- **内存使用**：5332.1 MB 空闲 / 15729.9 MB 总计 (约66% 空闲)
|
||
- **结论**：系统负载正常，无资源耗尽迹象
|
||
|
||
### 2.2 网络连接
|
||
- 检查了所有已建立的连接
|
||
- 未发现可疑的外部连接
|
||
- 所有连接均为正常的服务端口（80, 443, 3000, 5432, 6379, 22, 8002）
|
||
|
||
---
|
||
|
||
## 3. 安全脚本状态
|
||
|
||
### 3.1 正在运行的清理脚本
|
||
|
||
以下脚本正在通过crontab定期执行：
|
||
|
||
1. **aggressive-malware-cleanup.sh**
|
||
- 执行频率：每分钟
|
||
- 日志文件：`/var/log/aggressive-cleanup.log` (156KB)
|
||
- 功能：终止恶意进程、删除恶意文件、锁定目录
|
||
|
||
2. **prevent-reinfection.sh**
|
||
- 执行频率：每2分钟
|
||
- 日志文件：`/var/log/prevent-malware-regeneration.log` (371KB)
|
||
- 功能：防止恶意程序重新生成
|
||
|
||
3. **enhanced-malware-cleanup.sh**
|
||
- 执行频率：每30分钟
|
||
- 日志文件：`/var/log/enhanced-cleanup.log` (48KB)
|
||
- 功能：增强清理功能
|
||
|
||
4. **monitor-downloads.sh**
|
||
- 执行频率：每5分钟
|
||
- 日志文件：`/var/log/malware-monitor.log` (7.9KB)
|
||
- 功能：监控下载活动
|
||
|
||
### 3.2 脚本清理的目标
|
||
|
||
根据 `aggressive-malware-cleanup.sh` 脚本内容，它针对以下恶意程序：
|
||
|
||
- **kinsing** - 加密货币挖矿恶意软件
|
||
- **kdevtmpfsi** - 恶意挖矿程序
|
||
- **.system3d** - 隐藏的恶意程序
|
||
- **uhavenobotsxd** - 恶意脚本
|
||
- **est1, ladyg0g0, esd101** - 其他恶意变种
|
||
|
||
脚本执行的清理操作：
|
||
- 终止恶意进程（`pkill -9`）
|
||
- 删除恶意文件和目录
|
||
- 锁定 `/etc/data` 目录
|
||
- 清理恶意定时任务
|
||
- 清理 `.bash_profile` 中的恶意命令
|
||
|
||
---
|
||
|
||
## 4. 日志分析
|
||
|
||
### 4.1 日志文件位置
|
||
- `/var/log/aggressive-cleanup.log` - 强力清理日志 (156KB)
|
||
- `/var/log/prevent-malware-regeneration.log` - 防重生成日志 (371KB)
|
||
- `/var/log/enhanced-cleanup.log` - 增强清理日志 (48KB)
|
||
- `/var/log/malware-monitor.log` - 恶意软件监控日志 (7.9KB)
|
||
- `/var/log/malware-cleanup.log` - 恶意软件清理日志 (3.6KB)
|
||
- `/var/log/eradicate-malware.log` - 根除恶意软件日志 (1.1KB)
|
||
|
||
### 4.2 日志大小分析
|
||
- 日志文件持续增长，说明脚本在持续执行
|
||
- `prevent-malware-regeneration.log` 最大 (371KB)，表明防重生成脚本工作频繁
|
||
- `aggressive-cleanup.log` 也较大 (156KB)，说明定期清理在执行
|
||
|
||
---
|
||
|
||
## 5. 文件系统检查
|
||
|
||
### 5.1 可疑文件检查
|
||
检查了脚本清理的目标文件/目录：
|
||
- ✅ `/etc/data/kinsing` - 不存在
|
||
- ✅ `/tmp/kdevtmpfsi` - 不存在
|
||
- ⚠️ `/tmp/.est1` - 已发现（目录，创建于12:30:05，已删除）
|
||
- ⚠️ `/var/tmp/.ladyg0g0` - 已发现（目录，创建于12:30:05，已删除）
|
||
- ⚠️ `/tmp/.esd101` - 已发现（目录，创建于12:30:05，已删除）
|
||
- ✅ `/.system3d` - 不存在
|
||
|
||
**结论**：发现3个可疑目录，已删除。这些目录可能是恶意程序的工作目录或启动脚本位置。
|
||
|
||
### 5.2 定时任务检查
|
||
- 检查了用户crontab和系统cron目录
|
||
- 只发现正常的清理脚本任务
|
||
- 未发现恶意定时任务
|
||
|
||
---
|
||
|
||
## 6. 结论
|
||
|
||
### 6.1 当前状态
|
||
|
||
⚠️ **恶意程序持续尝试运行，但清理脚本有效阻止**
|
||
|
||
**依据**：
|
||
1. ✅ 进程检查：当前无活跃挖矿进程（已被清理脚本终止）
|
||
2. ⚠️ 日志显示：恶意进程（kinsing, kdevtmpfsi, .system3d）频繁尝试启动
|
||
3. ✅ CPU使用率：正常（96.8% 空闲） - 说明恶意程序未成功运行
|
||
4. ✅ 系统负载：正常
|
||
5. ✅ 网络连接：无可疑连接
|
||
6. ⚠️ 文件系统：发现3个可疑文件（`.est1`, `.ladyg0g0`, `.esd101`）
|
||
7. ✅ 定时任务：无恶意定时任务
|
||
|
||
**日志分析**：
|
||
- 从 `prevent-malware-regeneration.log` 可以看到，每2分钟检测到新的恶意进程
|
||
- 最近1小时内检测并终止了多次恶意进程
|
||
- 清理脚本每分钟执行，及时清理恶意程序
|
||
- 最新记录：12:42:20 发现并终止了恶意进程 1001429
|
||
|
||
### 6.2 安全脚本效果
|
||
|
||
✅ **安全清理脚本正在有效工作，成功阻止恶意程序运行**
|
||
|
||
**证据**：
|
||
1. ✅ 脚本定期执行（通过crontab）
|
||
2. ✅ 日志文件持续更新，显示频繁的清理操作
|
||
3. ✅ 恶意进程被及时检测和终止
|
||
4. ✅ 系统资源使用正常（CPU空闲率96.8%）
|
||
5. ✅ 恶意程序无法长期运行（每次启动后很快被终止）
|
||
|
||
**日志统计**：
|
||
- **强力清理脚本**：每分钟执行，定期终止 `kinsing`、`kdevtmpfsi`、`.system3d` 进程
|
||
- **防重生成脚本**：每2分钟执行，检测并终止新启动的恶意进程
|
||
- **监控脚本**：持续检测到恶意程序尝试运行
|
||
|
||
**示例日志记录**（最近1小时）：
|
||
- 12:37:02 - 已终止kinsing进程
|
||
- 12:38:02 - 已终止kdevtmpfsi进程
|
||
- 12:42:20 - 发现并终止恶意进程 1001429
|
||
- 多次检测到恶意进程尝试启动，但都被及时终止
|
||
|
||
### 6.3 重要发现
|
||
|
||
⚠️ **恶意程序在不断尝试重新启动**
|
||
|
||
从日志分析可以看出：
|
||
1. **kinsing** 和 **kdevtmpfsi** 恶意挖矿程序持续尝试运行
|
||
2. 清理脚本每1-2分钟检测并终止这些进程
|
||
3. 恶意程序可能通过某种机制（定时任务、文件系统触发器等）自动重新启动
|
||
4. 发现了3个可疑文件，可能是恶意程序的启动脚本或二进制文件
|
||
|
||
### 6.4 建议
|
||
|
||
1. **立即处理可疑文件**
|
||
- 已发现的可疑文件：`/tmp/.est1`, `/var/tmp/.ladyg0g0`, `/tmp/.esd101`
|
||
- 建议：删除这些文件并锁定目录，防止重新创建
|
||
|
||
2. **深入调查恶意程序来源**
|
||
- 检查是否有隐藏的定时任务或服务
|
||
- 检查系统启动脚本（`/etc/rc.local`, `/etc/systemd/system/` 等）
|
||
- 检查是否有rootkit或后门
|
||
|
||
3. **增强清理脚本**
|
||
- 在清理脚本中添加对这些可疑文件的强制删除
|
||
- 考虑使用 `chattr +i` 锁定关键目录
|
||
|
||
4. **继续保持监控**
|
||
- 脚本已设置定期执行，建议继续运行
|
||
- 定期检查日志文件，关注恶意程序尝试频率
|
||
- 如果频率增加，说明攻击者仍在尝试
|
||
|
||
5. **系统加固**
|
||
- 确保所有安全补丁已更新
|
||
- 继续使用fail2ban和crowdsec等安全工具
|
||
- 考虑限制文件系统写入权限
|
||
|
||
6. **备份策略**
|
||
- 确保重要数据有定期备份
|
||
- 考虑完全清理系统并重新部署（如果攻击持续）
|
||
|
||
---
|
||
|
||
## 7. 脚本配置详情
|
||
|
||
### 7.1 当前运行的Crontab任务
|
||
|
||
```cron
|
||
* * * * * /root/scripts/aggressive-malware-cleanup.sh > /dev/null 2>&1
|
||
*/2 * * * * /root/scripts/prevent-reinfection.sh > /dev/null 2>&1
|
||
*/30 * * * * /root/scripts/enhanced-malware-cleanup.sh > /dev/null 2>&1
|
||
*/5 * * * * /root/scripts/monitor-downloads.sh > /dev/null 2>&1
|
||
*/1 * * * * /usr/local/bin/clear-http-bans.sh >/dev/null 2>&1
|
||
```
|
||
|
||
### 7.2 脚本功能总结
|
||
|
||
- **aggressive-malware-cleanup.sh**: 每分钟强力清理恶意程序
|
||
- **prevent-reinfection.sh**: 每2分钟防止恶意程序重新生成
|
||
- **enhanced-malware-cleanup.sh**: 每30分钟增强清理
|
||
- **monitor-downloads.sh**: 每5分钟监控下载活动
|
||
- **clear-http-bans.sh**: 每分钟清理HTTP禁令（fail2ban相关）
|
||
|
||
---
|
||
|
||
**报告生成时间**: 2025年1月1日 12:43
|
||
**检查人员**: AI Assistant
|
||
**服务器**: 45.192.99.48
|
||
|