Linux病毒/恶意程序排查实战手册：从进程定位到清除修复全流程

top

# 安装（Debian/Ubuntu）
apt install htop
# 启动
htop

# 按CPU使用率排序，取前10
ps aux --sort=-%cpu | head -10
# 按内存使用率排序，取前10
ps aux --sort=-%mem | head -10

# 安装
apt install -y unhide
# 快速扫描
unhide quick
# 全面扫描（耗时较长）
unhide brute

# 提取进程列表PID
ps -ef | awk '{print $2}' | sort -n > /tmp/ps_pids
# 提取/proc目录PID
find /proc -maxdepth 1 -type d -name '[0-9]*' | awk -F'/' '{print $3}' | sort -n > /tmp/proc_pids
# 对比差异（差异为隐藏进程）
diff /tmp/ps_pids /tmp/proc_pids

# 替换 <PID> 为实际进程ID
ll /proc/<PID>/exe
# 示例
ll /proc/6113/exe

ps -ef | grep <PID>

# 查看进程打开的所有文件
lsof -p <PID>
# 查看进程工作目录
ll /proc/<PID>/cwd

cat /proc/<PID>/environ | tr '\0' '\n'

# 当前用户
crontab -l
# root用户（需root权限）
crontab -u root -l

ls -la /etc/cron.d/
ls -la /etc/cron.hourly/
ls -la /etc/cron.daily/
ls -la /etc/cron.weekly/
ls -la /etc/cron.monthly/
# 查看系统crontab文件
cat /etc/crontab

# 系统服务
systemctl list-units --type=service
# 开机启动项
ls -la /etc/rc.local
ls -la /etc/init.d/
# profile文件
cat /etc/profile
cat ~/.bashrc

# 传统命令
netstat -tunlp
# 现代替代命令
ss -tunlp
# 查看已建立的对外连接
netstat -anp | grep ESTABLISHED

lsof -i -P -n | grep <PID>
# 或
netstat -tunlp | grep <PID>

# 系统日志（Debian/Ubuntu）
tail -f /var/log/syslog
# 系统日志（CentOS/RHEL）
tail -f /var/log/messages
# 认证日志（登录/权限相关）
tail -f /var/log/auth.log
# systemd通用日志
journalctl -f

# 查找近7天修改的文件
find / -mtime -7 -type f 2>/dev/null
# 查找隐藏文件
find / -name ".*" -type f 2>/dev/null
# 查找隐藏目录
find / -name ".*" -type d 2>/dev/null
# 查找可疑脚本文件
find / -name "*.sh" -o -name "*.pl" -o -name "*.py" 2>/dev/null

# 终止单个进程
kill -9 <PID>
# 终止进程及其子进程（替换 process_name）
pkill -9 -f "process_name"

# 直接删除
rm -f /path/to/malicious/file
# 处理只读文件
chattr -i /path/to/malicious/file
rm -f /path/to/malicious/file

# 编辑计划任务，删除恶意条目
crontab -e
# （谨慎）删除当前用户所有计划任务
crontab -r

# 系统更新
apt update && apt upgrade -y
# 安装安全工具
apt install -y fail2ban rkhunter chkrootkit
# 定期扫描
rkhunter --check
chkrootkit

apt install -y nmon iotop iftop