请问在 Ubuntu 下， sh 程序占用 CPU 过高是什么原因导致的？

[Bearsuny]

我用 top 命令打印了当前的 CPU 占用率，发现 sh 程序的 CPU 占用率过高，我把它 kill 掉以后它过一段时间又会出现。。。请问这是什么原因导致的？或者我应该怎样解决呢？希望大家不吝赐教 Ww ～

top 命令后的 CPU 占用率

[hcymk2]

pgrep -a sh

[Bearsuny]

@hcymk2 这个是我执行完命令以后，列出来的东西。

[图]( http://123.206.31.250/problem1.png)

[gaoyulong]

被人攻击啦吧

[Bearsuny]

@gaoyulong 我也觉得是。。但是我不知道该如何处理。。。T T 请问您知道要怎样解决么？

[araraloren]

pxu 是什么用户

[Bearsuny]

@araraloren pxu 是正常用户

[raynor2011]

top 切换下模式， 查看具体的指令

[hand515]

ntpd 不是用来对时的吗，怎么这么耗 CPU ？

[d0m2o08]

变成矿机了吧，top 按 c 看看 sh 后面的命令是啥 或者 netstat 看看有没有可疑的网络连接

[whatever93]

top -c

[Bearsuny]

@d0m2o08 我按了 c 以后的结果是这样的 http://123.206.31.250/problem2.png ，应该是 ntpd 消耗 CPU 过高。但是我网上查找的时候也是一头雾水的样子。。。。

[ilyh]

ntp 反射攻击了解一下

[LykanSec]

看看有几个 ntpd 进程，正常情况下只有一个，有多的应该就是伪装成 ntpd 的挖矿马，去看看 ntpd 的父进程，看看文件具体位置

[Bearsuny]

@LykanSec 我使用 ps wafux 去查看了一下，发现 ntpd 就这一个。。。图的话是 http://123.206.31.250/problem3.png,

[Bearsuny]

@LykanSec 哇。。似乎不是这样的。。。我用 ps -ef|grep ntpd 和 ps -aux 去查了一下。。发现了一点不一样的地方 WW 查询的结果是这样的 http://123.206.31.250/problem4.png,

[jasonyang9]

```
# pstree -p
```

[nicevar]

第一反应就是在挖矿

[Bearsuny]

@jasonyang9 http://123.206.31.250/log1.txt ，这个是打印出来的信息，ntpd 的进程号是 4574 和 59216

[af463419014]

恭喜你成了一个肉鸡

[af463419014]

你的服务器 ssh 端口是不是没有修改,仍然用的 22
ssh 是不是可以用 root 或者 admin 之类的常见用户名登录
密码是不是没有太复杂