关于哪吒面板被入侵-自检及删除流程

注意查看这个进程

隐藏的恶意进程，注意杀掉他！！

指向这个ip

下面是我做的流程

1.查看服务

systemctl list-units --type=service --state=running

如果有2个agent服务 那就是被入侵了

先

rm -rf /opt/nezha



    

  

删掉哪吒所有服务

然后移除key 可能key不一样 自己替换一下

BAD_B64='c3NoLWVkMjU1MTkgQUFBQUMzTnphQzFsWkRJMU5URTVBQUFBSU1NRHhObGlMQVIxbExwNWtveE1IUXRkQ04wY05yVjlIUWJ0emFEZk51OEogZ2FyeUBnYXJ5'

BAD_KEY="$(printf '%s' "$BAD_B64" | base64 -d)"

grep -vxF "$BAD_KEY" /root/.ssh/authorized_keys > /root/.ssh/authorized_keys.clean

install -m 600 -o root -g root /root/.ssh/authorized_keys.clean /root/.ssh/authorized_keys

rm /root/.ssh/authorized_keys.clean



    

  

最后拉闸这个伪装服务

systemctl stop systemlog.service



# 2. 禁用服务（防止开机自启）

systemctl disable systemlog.service



# 3. 清除服务文件

rm -f /etc/systemd/system/systemlog.service



# 4. 重新加载系统服务配置

systemctl daemon-reload





    

  

最后重启 查看是否还有可疑进程

还有什么要补充的。。。来个大佬说下