# 问题现象:

- CPU的使用率一直100%
- 服务器卡顿，无法正常使用

# 疑似原因:

- 系统密码较弱被破解
- 安装的程序有漏洞被不法分子利用
- 等等

# 排查步骤:

- 使用top命令观察占用cpu程序的PID（注：恶意程序的名称千奇百怪）

![Alt text](https://shuanglei.s3.didiyunapi.com/top.png)

- 通过PID查看该程序所在的目录：ls /proc/XXX/

![avatar](https://shuanglei.s3.didiyunapi.com/2.png)

- 	执行ll /proc/14202 查看该程序运行的目录

![avatar](https://shuanglei.s3.didiyunapi.com/3.png)

- 进入该目录并进行查看都有哪些文件

![avatar](https://shuanglei.s3.didiyunapi.com/4.png)

![avatar](https://shuanglei.s3.didiyunapi.com/4-1.png)

- 将这些文件的权限全部修改成000，使这些程序无法继续执行：chmod 000 -R *

![avatar](https://shuanglei.s3.didiyunapi.com/5.png)

- 	以上基本可以找出恶意程序所在的目录了，接着我们将该程序kill 掉即可

![avatar](https://shuanglei.s3.didiyunapi.com/6.png)

- 持续观察即可（该示例通过观察30min，该恶意程序继续没有再执行）

![avatar](https://shuanglei.s3.didiyunapi.com/7.png)

补充：

- 建议执行crontab -l 查看是否有可疑计划任务在执行，如有请及时删除（crontab -r）

- 通过上面的排查步骤我们可以看到cron程序是运行在/root/.bashtemp/a目录下的，但/root/.bashtemp/目录下还有很多这样的程序，所以也要执行：chmod 000 -R *  将所有恶意程序的权限清除

- 一般来讲通过以上步骤可以将恶意程序干掉，但不排除不法分子还留有其他后门程序，为了避免类似情况发生，建议保存重要数据后重装操作系统

- 后续请对服务器做安全加固，以免再次被入侵，比如更改默认远程端口、配置防火墙规则、设置复杂度较高的密码等方法

作者：董双磊

- [滴滴云全线标准型云服务器限时特惠,注册即送新手大礼包](https://www.didiyun.com/?channel=14816 )
- [新购云服务1月5折 3月4折 6月低至3折](https://www.didiyun.com/?channel=14816 "新购云服务1月5折 3月4折 6月低至3折")
- [滴滴云使者招募，推荐最高返佣50%](https://www.didiyun.com/envoy/e-index.html?channel=14844)

ITPub博客

分享一次服务器被挖矿的处理方法

最新文章