服务器 CPU 突然长期跑在 90% 以上、进程名却没见过，是感染挖矿木马的典型症状。入侵者利用弱密码、未授权服务或应用漏洞进入后，植入矿机程序长期占用算力。处理原则：只杀进程没用——它们都带"复活"机制，必须顺着进程找到文件与持久化入口一起清理。

第一步：确认可疑进程

# 按 CPU 排序看最占资源的进程
top -b -n 1 | head -20

# 或使用 ps 直接按 CPU 排序
ps aux --sort=-%cpu | head -10

符合这些特征的基本可以判定为挖矿进程：

• CPU 长期 90%+ 且不是自己的业务程序；
• 进程名奇怪（随机字符串、伪装成 kdevtmpfsi、kinsing、xmrig、sysupdate 等系统进程名）;
• 进程的属主是普通用户（如 www、nobody）却在跑高负载任务。

先与业务确认

动手前与业务方确认这些进程不是合法任务（编译、渲染、压测都会吃满 CPU），避免误杀业务进程。资源查看命令的更多用法见Linux资源查看基础命令。

第二步：定位进程文件位置

# 以 PID 12345 为例：查看进程对应的可执行文件真实路径
ls -l /proc/12345/exe

# 查看进程工作目录
pwdx 12345

# 查看进程打开的文件与网络连接
lsof -p 12345 | head -20

/proc/<PID>/exe 指向的路径（常藏在 /tmp、/dev/shm、/var/tmp、用户家目录的隐藏目录）就是要清除的矿机本体。

第三步：结束进程并删除文件

# 结束进程（-9 强制）
sudo kill -9 12345

# 删除矿机文件（按第二步定位到的路径）
sudo rm -f /tmp/.xxx /dev/shm/xxx

# 观察 1~2 分钟，确认进程没有自动复活
ps aux --sort=-%cpu | head -5

进程很快"复活"说明持久化机制还在运行，进入第四步。

第四步：清除持久化（关键一步）

挖矿木马通常布了多处"复活点"，逐项检查并清理：

清理前先备份取证

清理前把可疑任务内容截图或复制保存（如 crontab -l > /tmp/evidence.txt），便于事后分析入侵途径；无法确认的条目先注释而不是删除。

1. 计划任务（最常见的复活点）：

   crontab -l                          # 当前用户的定时任务
   sudo ls -la /etc/cron.d/ /etc/cron.daily/ /var/spool/cron/
   sudo grep -r "curl\|wget\|base64" /etc/cron* /var/spool/cron/ 2>/dev/null

   删除可疑行；个别木马会锁定任务文件防修改，先解锁再编辑：sudo chattr -i /var/spool/cron/root。定时任务机制见Cron定时任务。

2. systemd 服务与定时器：

   systemctl list-timers --all         # 可疑的一次性定时器
   systemctl list-units --type=service --state=running | grep -vi "ssh\|nginx\|mysql\|docker"

   发现可疑服务：sudo systemctl stop <名称> && sudo systemctl disable <名称>，并删除对应的 /etc/systemd/system/<名称>.service。

3. 动态链接库劫持（隐藏进程的手法）：

   cat /etc/ld.so.preload 2>/dev/null

   该文件存在且指向可疑 .so 文件时，清空文件内容（echo -n | sudo tee /etc/ld.so.preload）。

4. SSH 后门：检查 ~/.ssh/authorized_keys 与 /root/.ssh/authorized_keys 里是否有不是自己添加的公钥，直接删除对应行。

第五步：堵住入侵入口

不清入口，清完还会再中。按命中概率排序排查：

1. 弱密码与爆破：检查 sudo lastb | head -30 有无海量失败登录——有就说明被爆破过，按SSH安全加固清单改用密钥登录、安装 fail2ban。
2. Redis 未授权访问：6379 端口对公网开放且无密码，是最经典的挖矿入口，检查并整改，参见部署Redis缓存。
3. 应用漏洞：Web 程序（尤其老旧 CMS、上传组件）被传马——升级到最新版本。
4. 改掉所有密码：系统账号、数据库、面板密码全部更换。

处理不干净怎么办

清理后 CPU 仍异常、进程杀不完或反复复发，说明木马扎根较深（替换系统命令、内核级隐藏），此时：

• 备份业务数据（不要备份可执行文件），重装系统是最干净的方式；
• 重装后先按第五步加固，再恢复业务；
• 重装操作或日志取证可提交工单处理。

系统改坏时的救援手段见进入Linux单用户模式。