Linux服务器挖矿病毒排查与清除实战

1. 服务器异常现象与初步排查

那天凌晨三点，运维报警短信把我从睡梦中惊醒——生产环境的Nginx服务又挂了。这已经是本周第三次了，每次重启后看似正常，但过几个小时就会再次崩溃。更诡异的是，Nginx的错误日志里居然没有任何异常记录，就像是被某种力量"温柔"地掐断了进程。

1.1 服务异常的特征分析

首先我检查了Nginx的systemd配置，确认已经设置了自动重启：

bash复制systemctl enable nginx
systemctl status nginx -l

但问题依旧存在，说明不是简单的进程崩溃，而是有更深层次的原因。

1.2 资源占用异常排查

当我执行free -m查看内存时，8GB的服务器内存使用率竟高达98%，而我们的业务只是一个轻量级Java服务，正常情况下1GB内存就足够了。紧接着用top命令发现了更惊人的情况：

code复制PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND
411256 root      20   0  386424 215316   1024 R 200.0  2.6  98:47.23 kauditd0

这个名为kauditd0的进程疯狂占用200%的CPU（说明它使用了多核），而且名字明显是在模仿Linux内核的审计进程kauditd——这是挖矿病毒的典型特征。

1.3 网络连接分析

通过netstat -natp检查网络连接，发现了多个来自德国和美国的异常IP连接：

code复制tcp        0      0 192.168.1.100:22      45.33.18.75:37251     ESTABLISHED 342257/sshd: root@no 
tcp        0      0 192.168.1.100:22      185.143.223.42:54123  ESTABLISHED 336488/sshd: root@no

这些IP不属于我们的任何合作伙伴，基本可以确认服务器已被入侵。

2. 病毒行为分析与确认

2.1 定时任务检查

挖矿病毒通常会通过crontab实现持久化。执行