Linux 病毒排查指南 🔍
- 本指南是一份全面且实用的Linux病毒排查实战手册，从最初的症状识别到最终的清除修复，提供了完整的排查流程和具体的操作命令。无论你是遭遇了挖矿病毒、勒索软件，还是其他类型的恶意程序，都能通过本指南提供的系统化方法快速定位问题并有效解决。
导航目录 📚
一、⚡ 查看引起CPU飙高的进程
📊 使用 top 命令
特点：按 P 键按 CPU 使用率排序，实时监控系统资源占用情况 ✨
🖥️ 使用 htop（更直观）
1
2
3
|
# 如果未安装，先安装
apt install htop
htop
|
优势：彩色界面，更直观的进程树展示，支持鼠标操作 🎯
🔍 使用 ps 命令查看进程详情
1
2
3
4
5
|
# 按CPU使用率排序
ps aux --sort=-%cpu | head -10
# 按内存使用率排序
ps aux --sort=-%mem | head -10
|
功能：精确获取资源占用最高的前10个进程 📈
二、👻 检查隐藏进程
🛠️ 安装和使用 unhide 工具
1
2
3
4
5
6
7
8
|
# 安装 unhide
apt install -y unhide
# 快速扫描隐藏进程
unhide quick
# 全面扫描（更耗时）
unhide brute
|
特点：专业检测隐藏进程和rootkit工具 🔧
🔎 其他检测隐藏进程的方法
1
2
3
4
|
# 检查进程与文件系统的差异
ps -ef | awk '{print $2}' | sort -n > /tmp/ps_pids
find /proc -maxdepth 1 -type d -name '[0-9]*' | awk -F'/' '{print $3}' | sort -n > /tmp/proc_pids
diff /tmp/ps_pids /tmp/proc_pids
|
原理：通过对比进程列表和/proc目录发现隐藏进程 🕵️
三、📁 定位病毒文件
🎯 通过进程ID定位可执行文件
1
2
3
4
5
|
# 查看进程对应的可执行文件路径
ll /proc/<PID>/exe
# 示例
ll /proc/6113/exe
|
📝 查看进程详细信息
1
2
3
4
5
|
# 查看特定进程的详细信息
ps -ef | grep <PID>
# 示例输出
# root 4136 1 98 13:50 ? 00:00:23 /bin/bash /var/tmp/.sys/cpu.sh
|
📂 查看进程打开的文件
1
2
3
4
5
|
# 查看进程打开的所有文件
lsof -p <PID>
# 查看进程的工作目录
ll /proc/<PID>/cwd
|
🔧 检查进程环境变量
1
|
cat /proc/<PID>/environ | tr '\0' '\n'
|
功能：查看进程运行时的环境配置，发现异常变量 ⚙️
四、⏰ 检查系统计划任务
👤 查看当前用户的计划任务
1
2
3
4
5
|
# 查看当前用户计划任务
crontab -l
# 查看root用户计划任务（需要root权限）
crontab -u root -l
|
📁 检查系统计划任务目录
1
2
3
4
5
6
7
8
9
|
# 查看系统计划任务目录
ls -la /etc/cron.d/
ls -la /etc/cron.hourly/
ls -la /etc/cron.daily/
ls -la /etc/cron.weekly/
ls -la /etc/cron.monthly/
# 查看 /etc/crontab 文件
cat /etc/crontab
|
🔍 检查其他常见的持久化位置
1
2
3
4
5
6
7
8
9
10
|
# 检查系统服务
systemctl list-units --type=service
# 检查开机启动项
ls -la /etc/rc.local
ls -la /etc/init.d/
# 检查profile文件
cat /etc/profile
cat ~/.bashrc
|
重要性：病毒常在这些位置设置持久化机制 🔄
五、🌐 网络连接检查
🔍 查看异常网络连接
1
2
3
4
5
6
7
8
|
# 查看所有网络连接
netstat -tunlp
# 使用ss命令（更现代）
ss -tunlp
# 查看可疑的对外连接
netstat -anp | grep ESTABLISHED
|
📡 检查进程网络连接
1
2
3
4
5
|
# 查看特定进程的网络连接
lsof -i -P -n | grep <PID>
# 或者使用
netstat -tunlp | grep <PID>
|
功能：发现异常外连行为，识别C&C服务器通信 🌍
六、📊 系统日志分析
📝 检查系统日志
1
2
3
4
5
6
7
8
9
|
# 查看系统日志
tail -f /var/log/syslog
tail -f /var/log/messages
# 查看认证日志
tail -f /var/log/auth.log
# 使用journalctl（systemd系统）
journalctl -f
|
特点：实时监控系统活动，发现异常登录和执行记录 🔎
七、📂 文件系统检查
🔎 查找可疑文件
1
2
3
4
5
6
7
8
9
|
# 查找近期修改的文件
find / -mtime -7 -type f 2>/dev/null
# 查找隐藏文件和目录
find / -name ".*" -type f 2>/dev/null
find / -name ".*" -type d 2>/dev/null
# 查找可疑的脚本文件
find / -name "*.sh" -o -name "*.pl" -o -name "*.py" 2>/dev/null
|
技巧：重点关注/tmp、/var/tmp等临时目录 🎯
八、🧹 清除和修复
🚫 终止恶意进程
1
2
3
4
5
|
# 终止进程
kill -9 <PID>
# 强制终止进程及其子进程
pkill -9 -f "process_name"
|
🗑️ 删除恶意文件
1
2
3
4
5
6
|
# 删除病毒文件
rm -f /path/to/malicious/file
# 如果是只读文件，先取消只读属性
chattr -i /path/to/malicious/file
rm -f /path/to/malicious/file
|
📋 清理计划任务
1
2
3
4
5
|
# 编辑计划任务并删除恶意条目
crontab -e
# 或者直接删除所有计划任务
crontab -r
|
九、🛡️ 预防措施
🔒 系统安全加固
1
2
3
4
5
6
7
8
9
|
# 保持系统更新
apt update && apt upgrade
# 安装安全工具
apt install -y fail2ban rkhunter chkrootkit
# 定期扫描
rkhunter --check
chkrootkit
|
推荐工具：
- fail2ban 🚫 - 防止暴力破解
- rkhunter 🔍 - Rootkit检测
- chkrootkit 🛡️ - 系统完整性检查
📈 监控系统资源
1
2
3
4
|
# 安装监控工具
apt install -y nmon iotop iftop
# 设置资源监控告警
|
监控重点：CPU异常、内存泄漏、异常网络流量 📊
💡 总结
通过以上系统的排查步骤，可以有效地发现和处理Linux系统中的病毒和恶意程序 ✨。建议定期进行系统安全检查，并保持系统和安全工具的更新，构建多层次的安全防护体系 🛡️。
最佳实践：
- 定期备份重要数据 💾
- 实施最小权限原则 🔐
- 启用系统审计功能 📝
- 建立安全监控告警 🚨
记住：预防胜于治疗！建立完善的安全防护体系是避免病毒入侵的最佳策略 🎯。
