记一次服务器被黑经历，莫名多出来一个Oracle用户，使用kswapd0、tsm进程导致内存以及cpu占用过高

起因

服务器突然访问不了，或者登陆是非常慢，通过进程发现cpu 占用90%以上，内存 使用率在 80%以上
过程：
1.初步排查
登录该机器发现有两个进程内存占用有点高
如下图：

查看除系统外正在运行的进程，发现有几个陌生的进程

ps  -aux | grep -v ']'

 

通过度娘搜索 其中关键词 发现 可能是中招了 （感谢CSDN两位大大，参考链接见文末）

2.根据PID进一步定位文件位置

lsof -p  26836  | more

 

进一步查找文件位置

进入/tmp目录

ls -al

3.删除源文件，杀死进程

 rm -rf .X25-unix

 kill -9 26836
 kill -9 26842

 4.进一步查找，是否有定时进程

cat /etc/passwd | grep 'bash' | cut -f 1 -d : | xargs -I {} crontab -l -u {}

5.清除定时任务，防止再生

crontab -r -u oracle

注意我这里是清除的Oracle用户下的定时任务，原因是我这里问题进程是Oracle用户

清除后再看看定时任务

cat /etc/passwd | grep 'bash' | cut -f 1 -d : | xargs -I {} crontab -l -u {}

之前的好几个都没有了