如何查杀服务器中的挖矿木马？
美国、香港服务器
如何查杀服务器中的挖矿木马？
03-23 来源:
一、快速判断是否中挖矿（3 秒识别）
1. CPU 持续 90%–100%
2. top 里看不懂的进程占用极高
3. 服务器上行流量异常大
4. 定时任务莫名新增
只要占 2 条，99% 挖矿木马。
二、一键定位挖矿进程（复制直接跑）
bash
运行
top
找：
• 无名进程
• 占用最高 CPU
• 用户异常（不是 root/www）
再查网络外联（挖矿必连矿池）
bash
运行
netstat -antp | grep
ESTABLISHED
看到陌生国外 IP、大量连接 = 挖矿实锤。
三、立刻杀掉恶意进程（紧急降负载）
先找到 PID
bash
运行
kill -9
PID
负载立刻下降。
但 只杀进程 = 马上复活挖矿核心在：自启动 + 定时任务 + 隐藏内核模块
下面根治。
四、查杀三大顽固藏身地（关键根治）
1）检查定时任务（挖矿最爱藏这里）
bash
运行
crontab -l
看到陌生乱码 URL、wget、curl → 立即删除
清空恶意计划：
bash
运行
crontab -r
2）开机自启动检查
bash
运行
ls
/etc/init.d/
systemctl status
| grep
failed
陌生服务直接禁用 + 删除
3）隐藏恶意内核模块（最难查）
bash
运行
lsmod
陌生小模块 → 极可能挖矿隐藏驱动
卸载：
bash
运行
rmmod 模块名
五、查找恶意文件并彻底删除
重点路径（挖矿 99% 放这里）
bash
运行
/tmp
/var/tmp
/usr/bin/乱码
/usr/sbin/乱码
一键查找最近可疑文件
bash
运行
find / -mtime -2 -type f 2>
/dev/null
2 天内新增陌生文件全部删掉
六、防止复活最关键 4 条配置（必做）
1. /tmp 目录禁止执行（挖矿最怕）
2. 关闭不必要端口、安全组极简放行
3. SSH 密钥登录、禁密码
4. 网站目录只读、禁 eval/system 函数
做完几乎不会二次中毒。
七、我给你一个终极一键查杀脚本（直接复制执行）
自动查进程、查外联、查定时、删恶意 tmp 文件
bash
运行
echo "=== 恶意进程 ==="; top -b | head -20
echo "=== 恶意外联 ==="; netstat -antp | grep
ESTABLISHED
echo "=== 定时任务 ==="; crontab -l
echo "=== tmp可疑文件 ==="; ls -lt
/tmp
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
