服务器中病毒清理

查看脚本进程号

top c

可以查到不正常的经常为
 1040853

根据进程号检查脚本是否有守护进程，有守护进程的话记录守护进程号

systemctl status 1966

 

找到守护进程号
1151445
1934783

删除脚本守护进程，删除关联文件位置

kill -9 1000959
kill -9 1373036

rm -rf /tmp/X11-unix/

清除脚本并find查找下其他位置是否也存在脚本(注意文件路径)

find / -name systemd-private*

rm -rf .systemd-private-yBe7DfpdIoDC1zjivJstmGECarXGMTSD.sh
rm -rf /opt/systemd-private-KosF6fONbkTbVcljJkxrTVxgnOkVLcj.sh

删除

rm -rf /etc/cron.d/0systemd-private-KosF6fONbkTbVcljJkxrTVxgnOkVLcj

7、开启cron.log日志记录
参考：https://blog.csdn.net/keyunq/article/details/7466202

8、检查hosts和ssh密钥是否有异常(可不做)

9、检查登录IP记录(可不做)
       centos7:  cat /var/log/secure | awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}'
      ubuntu: cat /var/log/auth.log | awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}'
10、定时观察次啊cron日志(可不做)
    grep "systemd-service.sh" /var/log/cron