我最近在河南一家知名IDC公司郑州易方科贸（861.cn）托管的一台服务器 发现一个让人头皮发麻的故障。

线上运维最典型的安全事故：服务器无业务更新、无新上线功能，CPU 突然 100% 跑满、负载飙升、业务卡顿、带宽异常占用。

很多人第一反应是程序卡死、代码死循环，重启服务器后短暂恢复，过几小时再次满血复活。99% 这种反复复发的高负载，都是服务器被植入挖矿木马、后门程序导致的入侵行为。

黑客利用弱密码、漏洞、未授权端口、泄露密钥等方式拿下服务器，植入挖矿程序、DDOS 肉鸡脚本、代理后门，长期占用算力、偷跑流量、静默驻留。

本文给你一套从快速判定、深度排查、彻底清理、防复发加固的完整入侵应急方案，新手也能直接照着操作。

一、先判断：你的服务器是不是被入侵了？

正常业务 CPU 高，是有规律、可解释的；入侵挖矿 CPU 高，是诡异、无脑、全天候满载。

出现以下任意 3 条，直接实锤入侵：

• 无业务峰值，CPU 全天 90%–100%，load 持续爆表

• top 出现陌生进程、乱码进程、伪装系统进程（kworker、kdevtmpfsi、watchdog、minerd 等）

• 重启服务器后，过一段时间自动复现高负载

• 带宽流量深夜异常跑满，无业务访问

• crontab、开机自启出现未知定时任务

• /tmp、/dev/shm 目录出现陌生可执行文件

• 服务器 SSH 登录日志出现陌生异地 IP

二、第一步：快速定位恶意进程（核心排查）

1. 查看 CPU 占用最高的可疑进程

top -c # 按 P 键，按 CPU 排序 # 或者直接命令列出CPU前十进程 ps aux --sort=-%cpu | head -10

挖矿木马常见进程名：minerd、kdevtmpfsi、kworkerds、sysdk、watchdogs、redis3、nginx_update、java_upd等伪装名称。

2. 追踪可疑进程真实文件路径

很多木马伪装系统进程，必须看真实执行路径：

# 替换 PID 为可疑进程ID ls -l /proc/PID/exe

如果路径在/tmp、/dev/shm、/var/tmp，100% 恶意木马。

3. 查看异常对外连接（肉鸡/后门实锤）

挖矿程序会持续连接境外矿池地址、黑客中控服务器：

ss -ntplu netstat -antp | grep ESTABLISHED

出现大量陌生外网 IP 长连接、疑似矿池端口，确认入侵。

三、第二步：深挖木马驻留根源（为什么重启必复发）

只杀进程没用，木马一定留了复活机制，这是反复感染的核心原因。

1. 检查定时任务（最高频复活方式）

黑客基本都会植入定时任务，每几分钟自动下载木马重启进程：

crontab -l ls /etc/cron.d/

出现陌生定时脚本、随机字符任务、wget/curl 下载脚本，全部为黑客后门。

2. 检查开机自启与系统计划任务

ls /etc/rc.local ls /etc/init.d/ systemctl list-unit-files | grep enabled

陌生自启脚本、异常 service 文件都是驻留后门。

3. 检查临时目录恶意文件

木马最爱藏在无权限限制的临时目录：

ls /tmp ls /dev/shm ls /var/tmp

出现随机名称可执行文件、sh 脚本、矿机程序，全部删除。

4. 检查 SSH 暴力破解痕迹

last | head -20 grep "Failed password" /var/log/secure

大量陌生 IP 爆破记录，说明服务器是弱密码被撞库入侵。

四、第三步：完整清理流程（彻底杀除木马）

遵循先断复活源、再杀进程、最后清文件的顺序，否则杀完立刻复活。

1. 暂停所有可疑定时任务

crontab -r rm -rf /etc/cron.d/恶意任务名

2. 强制杀死恶意进程

kill -9 恶意PID # 批量查杀常见挖矿进程（万能一键） ps aux | grep -E 'minerd|kdevtmpfsi|kworkerds|sysdk' | grep -v grep | awk '{print $2}' | xargs kill -9

3. 清理所有木马文件

rm -rf /tmp/* rm -rf /dev/shm/* rm -rf /var/tmp/*

4. 修复系统权限与预加载后门

高级木马会修改ld.so.preload劫持系统命令，隐藏进程：

cat /etc/ld.so.preload

非空即为劫持后门，清空文件即可恢复：echo "" > /etc/ld.so.preload

5. 重启服务器彻底清除内存残留

清理完成后必须重启，清除内存驻留恶意线程，杜绝残留复活。

五、第四步：查找被入侵的真实漏洞（杜绝二次中招）

木马清理完不代表安全，不补漏洞，24小时内必再次被入侵。

99% 服务器挖矿入侵，来自这 5 个漏洞：

• SSH 弱密码：简单密码被暴力爆破拿下权限

• Redis未授权访问：漏洞批量植入挖矿脚本

• Nginx/中间件漏洞：漏洞上传后门

• 对外开放高危端口：无防护暴露公网

• 服务器长期不更新、内核漏洞

六、终极加固方案（从此杜绝挖矿入侵）

1. 彻底加固 SSH 安全

• 修改高强度复杂密码

• 关闭 root 远程登录

• 开启 SSH 密钥登录，关闭密码登录

• 配置 SSH 登录白名单

2. 关闭不必要公网端口

云服务器安全组严格收紧，只放行业务端口，杜绝全端口开放。

3. 加固中间件安全

• Redis、MySQL 禁止外网访问、设置密码、关闭未授权访问

• Nginx、PHP 定期更新版本，修补漏洞

4. 开启监控告警

配置 CPU 持续高负载告警、异常连接告警、定时任务变更告警，提前捕捉入侵行为。

5. 禁止临时目录执行权限

加固 /tmp、/dev/shm 挂载权限，禁止执行脚本，从源头封杀挖矿木马运行。

总结

莫名 CPU 飙升、重启复发、负载异常，就是被挖矿入侵。

排查核心口诀：看进程、查外联、搜定时、清临时、修漏洞、强密码。