1. 项目概述：当服务器CPU告警响起时

“服务器CPU 100%了！”

这大概是所有运维和开发同学最不想在深夜或假期收到的告警信息之一。对于Windows服务器而言，CPU突然飙升至100%且居高不下，往往意味着系统正在被异常进程疯狂压榨。这背后，除了偶发的程序BUG或配置不当，更常见且危险的元凶是挖矿木马。这类恶意软件会悄无声息地潜入系统，劫持你的计算资源为攻击者“挖矿”牟利，轻则导致业务卡顿、服务响应迟缓，重则产生巨额云资源账单，甚至成为内网渗透的跳板。

面对这种突发状况，慌乱地重启服务器只是权宜之计，治标不治本。我们需要一套系统性的排查和根除方法。今天要分享的，就是基于两款微软Sysinternals套件中的神器——Process Explorer和Autoruns，进行的一次完整的“外科手术式”排查实战。这两款工具完全免费、无需安装、功能强大，是Windows系统管理员工具箱里的必备品。我们将从告警现象入手，一步步演示如何定位可疑进程、分析其行为、追踪其来源，并最终清理所有持久化痕迹，让服务器恢复健康。文末还会结合一个实战靶机环境，复盘一个典型的挖矿木马入侵案例，让你获得身临其境的排查体验。

2. 排查工具箱与核心思路解析

工欲善其事，必先利其器。在深入实战前，我们先来认识一下今天的主角，并理清整个排查的逻辑链条。

2.1 核心工具：Process Explorer 与 Autoruns 的角色定位

Process Explorer，可以看作是Windows任务管理器的“超级增强版”。它不仅能以更直观的树状结构展示所有进程及其父子关系，更能提供海量的详细信息：每个进程加载了哪些DLL文件、打开了哪些句柄（文件、注册表、网络端口）、消耗了多少CPU/内存/IO、甚至其数字签名状态。当CPU异常时，我们首先用它来精准定位到是哪个（或哪几个）进程在作祟，并深入分析其行为特征。

Autoruns，则是系统自启动项的“终极显微镜”。它能够枚举Windows中所有可能的自动启动位置，远远超过任务管理器“启动”标签页或msconfig的内容。包括注册表Run键、服务、计划任务、浏览器插件、Winlogon通知、镜像劫持等数十个类别。挖矿木马为了在服务器重启后能死灰复燃，必然会将自己植入到一个或多个自启动项中。Autoruns就是用来揪出这些隐藏的“定时炸弹”，并安全清除的关键工具。

排查的核心思路是一个清晰的四步流程：

1. 现象确认与初步定位：通过系统监控或云平台告警确认CPU持续高占用，远程登录服务器。
2. 进程深度分析：使用Process Explorer找到消耗CPU最高的进程，分析其路径、命令行、父进程、加载模块和网络活动，判断其是否为恶意进程。
3. 持久化痕迹追踪：使用Autoruns扫描系统，查找与该恶意进程相关的所有自启动项，并识别其伪装方式。
4. 清理与加固：结束恶意进程，删除其文件，清理Autoruns找到的持久化项，并检查系统漏洞，进行安全加固。

这个思路的优势在于，它不仅仅解决了“眼前”的高CPU问题（杀进程），更致力于解决“根源”问题（清启动项，防复活），并尝试理解攻击路径（分析行为），为后续防御提供依据。

2.2 为什么是它们？与其他工具的对比

你可能会问，为什么不用任务管理器或tasklist命令？任务管理器信息过于简略，无法查看进程树、加载的DLL或句柄详情，对于经过伪装的进程（例如，进程名是svchost.exe，但路径异常）识别能力很弱。tasklist命令虽然能提供列表，但同样缺乏深度分析能力。

也有像Process Hacker、System Informer等优秀工具，但Process Explorer出自微软Sysinternals，与系统兼容性最好，体积小巧（单个EXE文件），绿色免安装，最适合在应急响应时快速部署使用。Autoruns在自启动项管理领域的权威性更是无可替代。

注意：在真实的生产服务器上运行这些工具前，务必将其可执行文件（procexp.exe, autoruns.exe）复制到服务器本地磁盘（如C:\Tools\）再运行。切勿直接从网络共享或U盘执行，因为某些高级木马会监控网络路径和可移动磁盘，并拦截或伪装工具的运行。

3. 实战演练：使用Process Explorer揪出元凶

假设我们收到一台Windows Server 2019服务器的CPU持续100%告警。下面开始实战操作。

3.1 获取与运行Process Explorer

首先，从微软官方Sysinternals套件网站下载Process Explorer。它是一个独立的procexp.exe或procexp64.exe文件。将其上传到服务器的一个非系统目录，例如C:\Tools\。直接双击运行，如果弹出用户账户控制（UAC）提示，点击“是”以管理员权限运行，这样才能获取所有进程的完整信息。

运行后，界面默认按进程名排序。CPU占用情况会以百分比形式显示，并且高CPU的进程所在的行会以浅红色背景高亮显示，非常直观。

3.2 定位高CPU进程并分析

我们的目标是找到持续消耗CPU的“罪魁祸首”。点击“CPU”列标题，可以按CPU使用率降序排列。通常，一个正常的系统服务或应用不会长期独占100%的单个逻辑核心。我们需要关注那些持续占用率高、且看起来不熟悉的进程名。

情况一：明显的可疑进程名有时攻击者比较“懒”，进程名可能就是miner.exe,xmrig.exe,java（但路径奇怪）等。直接锁定它。

情况二：进程伪装（DLL劫持、进程注入）这是更常见的情况。恶意代码可能注入到svchost.exe,rundll32.exe,wscript.exe,powershell.exe等合法系统进程中。这时，单看进程名没用，需要深入分析：

1. 检查进程路径：右键点击可疑进程 ->Properties（属性）。在Image（映像）标签页，查看Path（路径）。一个正常的svchost.exe路径应该是C:\Windows\System32\或C:\Windows\SysWOW64\。如果路径是C:\Users\Public\、C:\ProgramData\或某个临时目录，那就极度可疑。
2. 检查命令行：在属性窗口的Image标签页，查看Command line。挖矿进程通常会带有矿池地址、钱包地址、矿工名等参数。例如，你可能看到一串包含stratum+tcp://,pool.minexmr.com:443,-o,-u等关键词的长字符串。
3. 检查父进程：在Process Explorer主界面，确保View->Show Process Tree（显示进程树）是勾选状态。查看可疑进程的父进程是谁。一个由explorer.exe启动的svchost.exe就很奇怪（正常的服务由services.exe启动）。如果父进程是powershell.exe或cmd.exe，且其本身也是临时出现的，那就构成了一个可疑的进程链。
4. 检查加载的DLL：在属性窗口的Threads（线程）标签页可能看到大量活跃线程。更关键的是Performance Graph（性能图）和GPU Graph（如果有独立显卡且被用于挖矿）。但最有用的是TCP/IP标签页，可以查看进程的网络连接。挖矿进程必须连接矿池，所以通常会有一个到陌生IP地址（尤其是海外IP）和特定端口（如3333, 4444, 5555, 14444等）的持续TCP连接。

一个关键技巧：使用“Verify Image Signatures”（验证映像签名）在Process Explorer主界面，点击Options->Verify Image Signatures。Process Explorer会检查所有进程文件的数字签名。大多数恶意软件都没有有效的微软或知名公司的签名。因此，那些显示“Unable to verify”（无法验证）或“Not signed”（未签名）的高CPU进程，嫌疑非常大。你可以点击“Company Name”（公司名称）列进行排序，快速聚焦那些没有合法签名的进程。

3.3 实例分析：一个伪装案例

假设我们发现一个名为java.exe的进程占用了90%的CPU。通过上述步骤检查：

• 路径：C:\Users\Default\AppData\Local\Temp\java.exe（异常，正常Java应在Program Files下）。
• 命令行：-jar miner.jar -o xmr.pool.com:443 -u 钱包地址 -p x --cpu-max-threads-hint=100
• 父进程：一个早已退出的cmd.exe。
• 网络连接：持续连接到xmr.pool.com:443。
• 签名：无法验证。

至此，基本可以判定这是一个门罗币（XMR）挖矿木马。

实操心得：Process Explorer的“悬停提示”功能很好用。将鼠标悬停在进程上，会弹出一个小信息框，包含路径、命令行和描述，可以快速进行初步筛选。另外，在排查时，可以暂时将Process Explorer窗口置顶，并观察CPU占用率的实时变化，有助于识别那些间歇性爆发的挖矿进程。

4. 追踪溯源：使用Autoruns清理持久化后门

杀掉恶意进程只是第一步。如果不清理其自启动项，服务器重启后，它很可能又会卷土重来。这就是Autoruns大显身手的时候。

4.1 运行Autoruns并扫描

同样，从Sysinternals下载autoruns.exe或autoruns64.exe，上传到服务器本地运行（务必以管理员身份）。首次运行，它会自动扫描所有自启动位置，这可能需要十几秒到一分钟。

扫描完成后，你会看到一堆标签页：Logon（登录）、Services（服务）、Scheduled Tasks（计划任务）、Internet Explorer、Drivers（驱动程序）等等。信息量巨大，但别担心，Autoruns提供了强大的过滤和验证功能。

4.2 识别恶意启动项

我们的目标是找到与之前发现的恶意进程（如C:\Users\Default\AppData\Local\Temp\java.exe）相关的条目。有以下几种方法：

1. 直接搜索：点击Entry（条目）列标题进行排序，或者使用Find（查找）功能（Ctrl+F），输入恶意进程的名称或路径关键词，如java.exe或miner。
2. 关注可疑位置：
   • 计划任务：攻击者非常喜欢通过计划任务实现持久化，因为它可以设置定时、重复执行，甚至触发条件执行。仔细检查Scheduled Tasks标签页。
   • 服务：如果恶意程序以Windows服务形式安装，会在Services标签页找到。注意查看Image Path（映像路径）是否指向恶意文件。
   • 注册表Run键：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和HKCU\...\Run是经典的自启动位置，也要检查。
   • Winlogon：一些顽固的木马会注册为Winlogon通知包，在用户登录时加载。
3. 利用验证信息：这是Autoruns最强大的功能之一。它默认会检查每个条目的数字签名，并将无法验证或已失效的签名条目以粉红色背景高亮显示。同时，它将已知的Windows系统条目以黄色背景高亮显示。因此，我们的排查重点可以放在那些既不是黄色（未知系统项），又是粉红色（签名无效）的条目上。特别是当这些条目的描述（Description）为空、公司名（Publisher）可疑、或映像路径（Image Path）指向临时目录、用户目录时，基本可以断定是恶意项。
4. 检查“隐藏已签名的Microsoft条目”：在Options菜单中勾选Hide Microsoft Entries（隐藏Microsoft条目）和Hide Windows Entries（隐藏Windows条目），可以瞬间过滤掉绝大部分合法的系统启动项，让可疑条目无处遁形。强烈建议在初步排查时使用此功能。

4.3 安全删除与清理

找到恶意启动项后，不要直接在Autoruns界面上右键删除！因为某些恶意项可能带有文件系统或注册表保护，直接删除可能导致Autoruns卡死或删除失败。

正确的清理步骤：

1. 记录信息：记下恶意启动项的全路径（Image Path）和注册表位置（Entry Location）。
2. 结束进程：回到Process Explorer，确保之前发现的恶意进程已被结束。如果它有守护进程或子进程，一并结束。
3. 删除文件：打开文件资源管理器（需显示隐藏文件和系统文件），导航到恶意文件所在目录。尝试直接删除。如果提示“文件正在使用”，可以使用Process Explorer的“查找句柄”功能（Find -> Find Handle or DLL），输入文件名，找到并结束所有占用该文件的进程，然后再删除。对于极其顽固的文件，可以尝试使用Unlocker工具或重启到安全模式进行删除。
4. 清理启动项：删除文件后，再回到Autoruns。右键点击已确认的恶意启动项，选择Delete（删除）。Autoruns会帮你从注册表或文件系统中移除该启动项。
5. 复查：清理完成后，再次点击Autoruns的Refresh（刷新）按钮，确保所有相关条目已消失。

注意事项：在删除任何条目之前，务必先进行备份。可以在Autoruns中点击File->Save，将当前所有启动项保存为一个.arn或.txt文件。万一误删了系统关键项，可以参照备份进行恢复。对于不确定的条目，可以先取消其前面的勾选（禁用），而不是直接删除，观察系统是否运行正常后再做决定。

5. 实战靶机复盘：一个完整的挖矿木马入侵分析

为了让大家有更直观的感受，我们复盘一个基于公开靶机（如TryHackMe上的“Malware Analysis”房间或某些CTF环境）的简单案例。假设靶机IP是192.168.1.100，我们已获得管理员权限。

步骤1：登录与现象观察远程桌面连接靶机，发现系统明显卡顿。打开任务管理器，看到CPU使用率持续在95%以上，但前台没有运行大型程序。

步骤2：Process Explorer深度分析运行Process Explorer，按CPU排序。发现一个名为RuntimeBroker.exe的进程占用极高。这引起了怀疑，因为Runtime Broker通常是系统进程，用于管理应用权限，但CPU占用不应如此之高。

• 右键 ->Properties。
• Image标签页：路径显示为C:\Users\Administrator\AppData\Local\Temp\RuntimeBroker.exe，这极不正常（正常路径应在System32）。
• Command line：无额外参数，显得很干净，但这更可疑。
• 查看TCP/IP标签页：发现该进程正与一个外部IP45.xx.xx.xx的端口5555保持长连接。
• 验证签名：显示“Unable to verify”。

步骤3：网络与行为关联在Process Explorer中，Find->Find Handle or DLL，输入45.xx.xx.xx，确认只有这个假冒的RuntimeBroker.exe进程在连接该地址。通过在线威胁情报平台（如VirusTotal, ThreatCrowd）查询该IP，反馈与加密货币矿池有关联。至此，恶意挖矿行为确认。

步骤4：Autoruns追踪持久化运行Autoruns，先勾选Options->Hide Microsoft Entries和Hide Windows Entries。

• 在Scheduled Tasks标签页，发现一个名为“WindowsUpdateSync”的任务，其Image Path指向了同一个恶意文件C:\...\Temp\RuntimeBroker.exe，触发条件是“系统启动时”。
• 在Services标签页，发现一个名为“BrokerExt”的服务，描述为空，发布者为空，路径也指向恶意文件。

步骤5：清理操作

1. 在Process Explorer中结束假冒的RuntimeBroker.exe进程树。
2. 删除文件C:\Users\Administrator\AppData\Local\Temp\RuntimeBroker.exe。
3. 在Autoruns中，右键删除“WindowsUpdateSync”计划任务和“BrokerExt”服务条目。
4. 刷新Autoruns，确认条目消失。
5. 重启服务器（或重启相关服务），观察CPU恢复正常，且恶意进程未再出现。

步骤6：入侵原因排查（拓展）清理后，我们应思考木马如何进来。检查系统日志、Web服务器日志（如果靶机有）、或使用netstat -ano查看其他异常连接。在这个靶机案例中，可能的原因是服务器上运行了一个存在漏洞的Web应用（如未打补丁的Confluence, Jenkins），被攻击者利用并上传了Webshell，进而执行了下载挖矿木马的PowerShell命令。这提醒我们，清理木马后，必须修补漏洞、修改弱口令、更新软件，才能从根本上解决问题。

6. 进阶排查技巧与常见问题

掌握了基本流程后，一些进阶技巧和常见问题能让你在应对更隐蔽的威胁时游刃有余。

6.1 针对无文件攻击与进程隐藏的排查

高级攻击者会使用“无文件”技术或内核级Rootkit来隐藏进程。这时，Process Explorer可能也看不到异常进程。

• 检查异常的网络连接：即使进程隐藏，网络连接通常难以完全隐藏。可以使用命令行工具netstat -ano，查看所有网络连接及其对应的进程ID（PID）。然后在Process Explorer中查找该PID（如果存在）。如果netstat显示有连接到可疑地址的连接，但Process Explorer中找不到该PID，那很可能进程被隐藏了，这是一个强烈的入侵信号。
• 使用内存分析工具：如Volatility（适用于取证分析），可以对内存转储文件进行分析，发现隐藏进程和恶意代码注入痕迹。但这需要一定的专业知识和离线环境。
• 检查计划任务的“操作”细节：有些挖矿木马不直接创建可执行文件，而是创建一条计划任务，其“操作”是执行一段编码后的PowerShell命令。在Autoruns中查看计划任务时，不仅要看Image Path，还要注意Arguments（参数）字段，可能包含一大串Base64编码的命令。

6.2 Process Explorer与Autoruns的联动使用技巧

• 从Process Explorer跳转到Autoruns：在Process Explorer中定位到恶意进程后，可以右键点击该进程，选择Search Online（在线搜索）来快速查询该文件名或哈希值是否已知恶意软件。更重要的是，可以记下其完整路径，然后到Autoruns中直接用该路径进行搜索，快速定位所有相关的启动项。
• 验证启动项对应的文件：在Autoruns中，对任何可疑的启动项，都可以右键点击，选择Process Explorer->Check VirusTotal（如果配置了VirusTotal API）或直接Jump to Image Path（跳转到映像路径），这会在Process Explorer中定位并高亮显示该文件所属的进程（如果它正在运行）。

6.3 常见问题与解决方案速查表

6.4 系统加固与预防建议

清理完一次木马后，更重要的是如何防止再次中招。

1. 最小权限原则：服务器上的应用和服务账户，不要使用管理员权限。为每个服务创建独立的低权限账户运行。
2. 及时更新与打补丁：定期更新操作系统、Web服务器、数据库、应用框架（如Java, .NET, PHP）及所有第三方组件。很多挖矿木马都是通过已知漏洞（如永恒之蓝、Log4j2、各种RCE漏洞）传播的。
3. 强化口令安全：禁用默认账户，为所有账户设置强密码，并定期更换。避免在多个服务器使用相同口令。
4. 部署端点防护：安装企业级防病毒/EDR（端点检测与响应）软件，并保持病毒库更新。虽然可能无法100%防御，但能阻挡大部分已知威胁。
5. 网络隔离与防火墙：在防火墙上严格限制入站和出站连接。服务器只开放必要的业务端口。可以策略性阻断到常见矿池域名和IP的出站连接。
6. 日志监控与审计：启用并集中收集Windows安全日志、系统日志和应用日志。监控异常登录事件、新服务的创建、计划任务的变更等。
7. 定期备份与快照：对关键服务器进行定期备份。在云环境中，可以为系统盘创建定期快照。一旦发现入侵，可以快速回滚到干净状态。
8. 建立基准线：在系统刚部署、确认干净时，使用Autoruns保存一份启动项基准快照。日后排查时，可以快速对比出新增的异常项。

最后，保持警惕和持续学习是关键。攻击者的手法在不断演变，防御者的工具和知识也需要随之更新。Process Explorer和Autoruns是强大的起点，但绝非终点。将它们与系统内置的命令行工具（如tasklist,netstat,schtasks,sc）、日志分析以及威胁情报结合起来，你就能构建起应对Windows服务器安全事件的坚实基础。