你贴出来的这些权限维持操作不是同一个人做的，这台服务器应该是像公交车一样，被很多人上了

@quadrapop

注意看我的回复：至于你说的「进程也杀不死」，这两个进程 rcu_sched 和 rcu_bh ，它们的 PPID 都为 2 ，所以是内核线程，肯定杀不死，而且这两个内核线程应该是正常的。

通过 /usr/lib/sys 目录下那两个挖矿木马的文件属性判断，应该是通过 confluence 的漏洞进来的。前段时间 confluence 爆出过好几个高危漏洞，赶紧升级下吧。

@Aurora0 #13 if [ -z "${VAR}" ]; then echo "variable VAR is empty"; else "variable VAR is not empty"; fi

「原因是 Craft 加入了 Setapp ，因为 Setapp 是拼车的（声明：不推荐），所以有人通过我的 Setapp 账号直接无验证登录了我的 Craft ，并且修改了邮箱」
没看懂这个，为什么别人能通过你的 setapp 账号无验证登陆你的 craft ？ craft 在加入 setapp 后通过 setapp 登录的时候也需要 setapp 账号的密码呀？难道你拼的 setapp 不是每人一个单独的账号么？

至于你说的「进程也杀不死」，这两个进程 rcu_sched 和 rcu_bh ，它们的 PPID 都为 2 ，所以是内核线程，肯定杀不死，而且这两个内核线程应该是正常的。

首先不确定你给出的 bash 历史记录是否是完整的，因为 "/usr/lib/sys/rcu_bj" 这个文件像是攻击者植入的，默认系统没有这个文件。
从 GitHub 克隆的这个项目的用途是使用内核模块隐藏挖矿木马的进程信息和 CPU 使用率。
从 1.234.16.54 这个网站下载的 s.zip 不是压缩文件，是一个 ELF ，把 sha256 扔到 virustotal 上发现它是一个挖矿木马。
至于请求 123.30.179.206 这个 URL ，我手动访问了下，返回是 404 ，看命令的话，正常情况应该是一个 shell 脚本，猜测可能是做横向移动用的。

首先你得确认攻击者是从什么入口进来的，通过对公网开放的端口大致可以确定。然后搞清楚攻击者通过这个入口进来后拿到的是什么权限，如果是 root 的话可以考虑备份重要数据然后重装了。不过还是得确定从什么入口进来，要把相应的漏洞修复，否则以后还会中招。

@zhanglintc 看 bash 的手册，搜 file descriptor

bash 操作文件描述符，具体含义搜一下，经常不用忘掉了

反正我是遗传，初中就已经有了，现在巨多。本来想去染一下的，还是忍住了，健康更重要

发光曲线不错

坐标帝都，夏天公路车通勤二十公里，穿骑行服，到公司后换衣服。公司本来有浴室的，但是早上起不来，一直没去过😅

十月底买的招行理财，已经亏了一百多了。可能是因为央行对于房企的贷款政策放开了，货币流动性增加，市场不缺钱了。不是很懂金融瞎说的

应该是开了 O3 编译优化，在 makefile 里把参数去掉重新编译就行

@feng0vx 应该躺平了吧。我跳的不是房子，是老家山上的那种梯田😂

我梦到类似的梦的时候总是腿软跑不动哈哈哈哈，据说好像是腿有点抽筋还是怎么着。我还会梦到从高处往下跳

应该是很老的 bug 了，用 15 的时候就有

@xtinput 怎么可能只有重启或者用户注销才释放，那内存管理是有多蠢。内核会根据内存压力动态管理这些用于缓存的内存，内存压力过大时这些内存完全可以收回再利用