Linux系统CPU占用率50%一直不降 top却看不到异常进程。可能是中了挖矿病毒下面记录一下解决的步骤1. 查看是否有可疑用户cat/etc/passwd找一个正常的机器对比查看是否有可疑用户 我们这个机器上有个null用户编辑这个文件 将可疑用户删除然后修改root用户和其他常用用户的密码2. 扫描隐藏进程安装unhideyum-yinstallepel-releaseyum-yinstallunhide安装完成后执行以下命令扫描unhide proc需要等待一会kill 任意一个进程后CPU使用率就降下来了不过等一会自己会启动。3. 查看定时任务crontab-l基本上这个命令查不到直接查看/etc/cron.d目录cd/etc/cron.dls-lls-la/etc/cron.daily/ /etc/cron.hourly/ /etc/cron.weekly/cat/etc/crontab查看这个目录下有没有可疑的定时任务还是找个正常机器做对比。也可以结合出现问题的时间查看文件修改时间来排查。注释掉可疑的定时任务。5. 检查是否有伪装成系统服务的启动文件find/etc/systemd/system /usr/lib/systemd/system /run/systemd/system-typef-name*.service-newer/etc/passwd2/dev/null#先停掉看门狗服务systemctl stop UD8tH4qrf.service systemctl disable UD8tH4qrf.servicerm-f/etc/systemd/system/UD8tH4qrf.service systemctl daemon-reload6. 检查系统启动脚本cat/etc/rc.d/rc.local这个/sbin/ppk.sh里面把系统信息、SSH 端口、在线用户等全部发给攻击者密码库窃取把/etc/shadow所有用户密码哈希和/etc/passwd发送到 bam3938protonmail.com# 2. 删 SUID 后门rm-f/sbin/suid /tmp/suid# 3. 清启动脚本sed-i/ppk.sh/d/etc/rc.d/rc.localchmod-x/etc/rc.d/rc.local# 4. 清可疑 init 脚本rm-f/etc/rc.d/init.d/VsystemsshMdt# 5. 清可疑定时任务rm-f/etc/cron.d/systemlrm-f/etc/cron.hourly/JWJ9YfY2P# 6. 删 ppk.shrm-f/sbin/ppk.sh 删除rm-f/sbin/ppk.sh清空 ssh免密登录的密钥# 2. 清空所有用户的 .ssh 目录保留空目录本身防止权限问题foruserin$(cut-d:-f1/etc/passwd);dohome$(getentpasswd$user|cut-d:-f6)if[-d$home/.ssh];thenrm-rf$home/.ssh/*chmod700$home/.sshchown$user:$(id-gn$user2/dev/null||echo$user)$home/.ssh2/dev/nullecho已清空:$home/.sshfidone# 3. 清空 root 的 .ssh 目录if[-d/root/.ssh];thenrm-rf/root/.ssh/*chmod700/root/.sshecho已清空: /root/.sshfi# 4. 验证echo 检查剩余 .ssh 目录内容 find/-typed-name.ssh2/dev/null|whilereaddir;doecho$dir:ls-la$direcho---done