服务器中病毒怎么办？挖矿病毒排查与清除步骤

📌 先看结论

核心结论：服务器中毒最常见的表现是CPU 持续 100% 且进程名陌生（xmrig、kdevtmpfsi、kinsing 等挖矿家族）。处理顺序：隔离→定位进程与持久化→删除→补漏洞→改密码。挖矿病毒会疯狂消耗算力，长期不处理等于白付服务器钱。

第一步 隔离与定位

1. 断开外网或安全组临时封禁可疑外连端口，避免挖矿程序继续向外通信、感染扩大。
2. 用 top/ps aux --sort=-%cpu 找出占用最高的进程，记下 PID 与完整路径。
3. 查该进程的父进程、启动方式：ls -l /proc/PID/exe、systemctl 服务、crontab、rc.local。

第二步 清除持久化

1. kill 进程后必须清持久化，否则重启又回来：查 crontab（crontab -l、/etc/cron.d/）、systemd 服务、开机启动项、/tmp 下的下载脚本。
2. 删除病毒本体文件与下载脚本，清空 /tmp 可疑文件。
3. 检查 SSH authorized_keys、账号列表，删异常账号与公钥。

第三步 补洞加固

1. 改所有密码（root、数据库、面板、后台），用强密码。
2. 升级有漏洞的组件：常见被利用的有 Redis 未授权、Web 组件漏洞、SSH 弱口令、Docker API 暴露。
3. 安全组最小化：只开必要端口，数据库/Redis 只内网访问。
4. 不确定清干净就重装系统（备份数据后），一劳永逸。

CPU 100% 的常见原因对照

🔗 延伸阅读：更多选型指南

💡 官方价格参考

❓ 常见问题