服务器好像被挖矿了。

[colys]

各位大佬我该咋办~

进程是这样的，我 kill 之后又有了。

---

root     15311  2748  0 11:31 ?        00:00:00 /bin/sh -c lspci -vvv  2>/dev/null
root     15312  2748  0 11:31 ?        00:00:00 /bin/sh -c df -lkPTx squashfs | grep  -E "^/|^.\:"
root     15313 15311 27 11:31 ?        00:00:36 /bin/sh -c lspci -vvv  2>/dev/null
root     15314 15312 26 11:31 ?        00:00:34 /bin/sh -c df -lkPTx squashfs | grep  -E "^/|^.\:"
root     15315 15312 25 11:31 ?        00:00:33 /bin/sh -c df -lkPTx squashfs | grep  -E "^/|^.\:"
root     15317  2748 27 11:31 ?        00:00:35 /bin/sh -c /opt/vc/bin/vcgencmd measure_temp
root     15319  2748  0 11:31 ?        00:00:00 /bin/sh -c lsblk -r 2>/dev/null | grep /
root     15320 15319 27 11:31 ?        00:00:36 /bin/sh -c lsblk -r 2>/dev/null | grep /
root     15321 15319 26 11:31 ?        00:00:33 /bin/sh -c lsblk -r 2>/dev/null | grep /

[colys]


[amai0w0]

应该是有有守护进程，另外可以查下有没有异常的定时任务。
如果没什么重要东西的话建议直接重装系统，这种挖矿脚本清起来挺费事儿的

[gadfly3173]

不重装的话基本思路就是先检查 bash 有没有被替换，如果服务器最近没更新什么文件的话可以直接查一下最近被更新的文件有哪些，排除掉可疑的文件，然后清理定时任务、自启动之类的

[colys]

谢谢大佬们，的确是挖矿的，已经解决

[colys]

h--t--t--p--:--//194.38.20.199/ph.sh 就是这玩意 无语。