如何彻底清除挖矿木马？
美国、香港服务器
如何彻底清除挖矿木马？
03-23 来源:
Linux 服务器：彻底清除挖矿木马（根治不复活）
我直接给你运维实战 7 步绝杀流程，照着做就能永久干净、不再自启、不再隐藏。
一、先确认：你是不是真中挖矿（3 秒）
满足任意 2 条 = 挖矿实锤
CPU 长期 80%–100%
top 看不到真实占用进程
网络大量外联陌生 IP
/tmp、/var/tmp 大量奇怪文件
二、第一步：紧急止血（立刻降负载）
先打快照（必须留证据）
云控制台安全组临时只放行你本机 IP
杀掉最高占用可疑进程
bash
运行
top
kill -9 PID
负载立刻下降，但马上会复活，继续往下清根。
三、第二步：查杀隐藏内核模块（最顽固）
挖矿最高级后门就是隐藏内核。
1）列出所有可见模块
bash
运行
lsmod
短名、乱码、不明模块 → 高危
2）查隐藏模块（绕过 rootkit）
bash
运行
cat /proc/kallsyms | grep module
数量远大于 lsmod → 有隐藏挖矿驱动
3）卸载恶意模块
bash
运行
rmmod 模块名
rmmod -f 模块名 # 强制卸载
四、第三步：清理三大自启动源头（99% 复活根源）
1）清理定时任务（挖矿最爱藏）
bash
运行
crontab -l
crontab -r
任何 wget、curl、陌生 URL 全部删除
2）清理开机启动服务
bash
运行
ls /etc/init.d/
systemctl list-unit-files | grep enabled
陌生恶意服务禁用 + 删除
3）排查 rc.local
bash
运行
cat /etc/rc.local
不明执行脚本删掉
五、第四步：删除所有恶意文件本体（关键）
挖矿常驻目录就这几个：
bash
运行
/tmp
/var/tmp
/usr/bin/乱码
/usr/sbin/乱码
/dev/shm
一键查找最近 48 小时可疑新增文件
bash
运行
find / -mtime -2 -type f 2>/dev/null
所有陌生二进制直接 rm
六、第五步：阻断外联矿池（防止下载新木马）
查看恶意外联：
bash
运行
netstat -antp
拉黑所有矿池 IP防火墙直接拦截网段
七、第六步：系统加固（做完永不复发）
1）/tmp 禁止执行（挖矿最怕）
bash
运行
mount -o remount,noexec /tmp
2）SSH 禁止密码、强制密钥登录
你之前问过，直接配置好
3）安全组只放行最小端口
80、443、你的 SSH 端口，其余全拒绝
4）网站目录锁只读、禁用 PHP 危险函数
防篡改、防植入 webshell
八、终极验证：清理成功标准
CPU 恢复正常
无不明外联
lsmod 无陌生模块
crontab 干净
/tmp 无陌生程序
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
