求助:服务器的CPU会自动爆满

djjj148

56核单机，PBS调用Gaussian进行计算，发现任务开始莫名的停止且没有任何异常错误输出，top查看后发现总是有一个叫sh的COMMAND(还是root权限运行的)会自动占满56核的5600%CPU，我登陆root杀掉这个任务后，过几十秒这个进程又自动把CPU占满。。重启机器和重启pbs都没用，而且现在就算是不调用pbs，直接g16 1.gjf跑任务也还是会被这个sh的COMMAND挤掉，甚至我什么都不干这个sh也会自动把CPU占满。。。
求助各位。

wxhwbh

怕不是被入侵挖比特币了，我们组服务器去年被学校里的内鬼频繁入侵挖矿

niobium

top之后按一下c，看看能不能看到脚本在哪里。

另外 ，这是CPU，不是内存

djjj148

niobium 发表于 2021-1-23 20:04
top之后按一下c，看看能不能看到脚本在哪里。

另外 ，这是CPU，不是内存

谢谢提醒 一着急都说错了，我crontab -e后发现的确有人设置了定时任务，命令调用的脚本就是sh

djjj148

wxhwbh 发表于 2021-1-23 19:57
怕不是被入侵挖比特币了，我们组服务器去年被学校里的内鬼频繁入侵挖矿

感谢提醒，我crontab -e发现的确有人设置了定时任务，就是1分钟运行一次sh脚本，怪我root密码设置太简单，已修改密码

wxhwbh

djjj148 发表于 2021-1-23 20:09
感谢提醒，我crontab -e发现的确有人设置了定时任务，就是1分钟运行一次sh脚本，怪我root密码设置太简单 ...

root密码不能太简单，另外可以禁止root用户的远程登陆。
还要注意黑客入侵后可能会留后门，这种时候改密码不一定防得住。

djjj148

wxhwbh 发表于 2021-1-23 20:38
root密码不能太简单，另外可以禁止root用户的远程登陆。
还要注意黑客入侵后可能会留后门，这种时候改密 ...

请问怎么查看黑客留没留后门呢

biogon

看描述很可能是中了挖矿病毒了

djjj148

参考了楼上各位老师/同学的建议修改密码后禁用了root账户，并且只让服务器连接局域网，现在只有同一个路由分出的网线才能连接。但是发现PBS的排队ID已经从500升到了1500，病毒应该还在。无奈只能先备份计算数据，准备重装系统了，希望大家引以为戒。

abin

djjj148 发表于 2021-1-23 22:46
参考了楼上各位老师/同学的建议修改密码后禁用了root账户，并且只让服务器连接局域网，现在只有同一个路由 ...

禁用root远程登录；
禁用密码验证登录；
启用key验证登录。

以上三条，基本就安全了。

使用弱密码并同时允许root采用密码登录，
才是最大的隐患。

如果不太清楚如何配置key验证，
微软客户端，请参考：

微软系统使用MobaXterm配置ssh key验证

https://www.bilibili.com/video/BV1af4y1v7rR/

微软用户，采用putty登录服务器，密码或者key验证

https://www.bilibili.com/video/BV18J411v7Sc

微软、Linux桌面如何连接远程服务器

https://www.bilibili.com/video/BV1fJ411n7uV

服务端，修改 /etc/ssh/sshd_config
请确保
PermitRootLogin prohibit-password
PasswordAuthentication no
UseDNS no #speedup connection
TCPKeepAlive yes

服务端，如何制作Key？
ssh-keygen -t ed25519
# press Enter if asked.
cd .ssh
cat ed25519.pub >> authorized_keys
chmod 600 authorized_keys


cat ed25519
拷贝看到的内容，就是微软机器上用到的key文件呀。

保管好这一对文件，可以把ed25519.pub放在任何你要访问的机器上的~/.ssh/authorized_keys中。
仅在第一次配置登录的时候需要密码，
以后均是key验证登录呀。 所以把密码内容写在记录本上，保存好备用呀。

如果你会用，当然也可以禁止root登录，
然后结合以上内容和~/.ssh/config，做到ssh root通过key验证，直接成为root用户呀。

djjj148

abin 发表于 2021-1-23 23:37
禁用root远程登录；
禁用密码验证登录；
启用key验证登录。

谢谢您！