检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
查看文件命令：ll -art 查询木马路径：pwd 查询文件中是否存在异常地址：strings +文件名（如config.json）+ |grep xmr 建议重点排查以下目录：/etc为配置文件、/tmp为临时文件、/bin为可执行文件。
案例 如下为主机被勒索的几个案例： 案例一：Windows主机文件加密，主机内存在勒索信条 案例二：Windows主机文件加密，主机内文件被添加后缀 案例三：Linux主机文件加密，主机文件被添加后缀 父主题： 主机面临的安全问题
对用户家目录下的用户名目录进行排查是否存在异常文件，是否存在异常登录或暴力破解。 应用：查看进程所属应用，应用的目录下是否有异常文件。 父主题： 主机安全排查（Linux操作系统）
查询命令：dir /s + 文件目录（如C:）+ | findstr "exe" 查询磁盘中（如C盘)下，"exe"的文件和目录，根据查询结果排除系统文件或应用创建文件，锁定异常文件。
检测主机内的异常用户目录下是否存在异常文件（非系统和业务部署创建的文件）。 对异常文件分析，是否为正常业务部署创建的文件，或者通过杀毒软件对文件进行安全检测。 父主题： 方案一：工具溯源排查
操作步骤 打开“Autoruns”文件夹，双击“Autoruns.exe”文件。 图1 打开AutoRuns文件夹 在弹出的对话框中，单击“Agree”。
主机内发现异常文件。 对文件进行分析，发现矿池信息。 检测URL为恶意矿池地址。 父主题： 主机面临的安全问题
操作步骤 打开“ProcessExplorer”文件夹，双击“procexp64.exe”文件。 图1 processExplorer 在弹出的对话框中，单击“Agree”，查看进程信息，在线排查进程。
操作步骤 打开“TCPView”文件夹，双击“Tcpview.exe”文件，在弹出的对话框中，单击“Agree”。 查看当前TCP连接状态，判断该进程是否为木马程序。 如果发现存在不知名进程，并且存在大量的SYN_SENT状态的连接，该进程疑似为木马程序。
图1 UDP对外攻击数据包 执行以下命令，将抓包分析结果暂存至/home文件夹中，文件名为udp.pcap。 nohup tcpdump -nn udp -c 1000000 -w /home/udp.pcap & 执行以下命令，对抓包分析结果进行分析，结果如图2所示。
） TCP：5432 PostgreSQL（数据库） TCP：110 POP3（邮局协议版本3） TCP：5900-5902 VNC（虚拟网络控制台，远控） TCP：111、2049 NFS（网络文件系统） TCP：5984 CouchDB（数据库） TCP：137、139、445
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
