如何检查Linux服务器是否被植入了恶意的内核模块？
美国、香港服务器
如何检查Linux服务器是否被植入了恶意的内核模块？
03-23 来源:
一、最快初检（1 秒判断有没有隐藏模块）
bash
运行
lsmod
看 3 类可疑：
名字很短乱码（aix、vmx、mi、id、ud 等）
非硬件驱动、非常用内核模块
大小异常小、作者未知
只要看到陌生小模块 → 90% 挖矿 Rootkit
二、专业检测：检查是否模块被隐藏（非常关键）
很多高级挖矿会抹掉 lsmod 记录，所以必须查原始内存：
1）直接读内核内存模块链表（绕过隐藏）
bash
运行
cat /proc/kallsyms | grep module
若比 lsmod 多很多 → 存在隐藏恶意模块
2）检查是否篡改系统调用（Rootkit 必改）
bash
运行
cat /proc/syscall
发现 hook、override、inline → 已植入钩子后门
三、一键查找可疑内核文件（挖矿最爱放）
bash
运行
find /lib/modules/$(uname -r)/ -name "*.ko" 2>/dev/null
陌生 .ko 文件 = 恶意驱动本体
四、卸载恶意模块（安全、不崩溃）
查到模块名后执行：
bash
运行
rmmod 模块名
无法卸载 → 强制解除依赖
bash
运行
rmmod -f 模块名
五、防止开机自动加载（必做）
挖矿一定会写开机加载：
检查：
bash
运行
ls /etc/modules-load.d/
cat /etc/rc.local
systemctl list-unit-files | grep .service
陌生加载项全部删除
六、终极查杀工具（专业运维用）
1）rkhunter（Rootkit 专杀）
bash
运行
yum install rkhunter -y
rkhunter --check
2）chkrootkit
bash
运行
yum install chkrootkit -y
chkrootkit
直接告诉你是否植入内核级后门
七、最简单判断一句话总结
lsmod 看陌生短名模块
/proc/kallsyms 查隐藏模块
rkhunter 一键深度扫描
三项任意命中 → 已植入恶意内核挖矿后门
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
