你的云服务器在偷偷挖矿吗？手把手教你用top命令和阿里云安全中心揪出‘矿工’
你的云服务器在偷偷挖矿吗？手把手教你用top命令和阿里云安全中心揪出‘矿工’
云服务器突然变卡？CPU使用率莫名飙升至100%？这可能是你的服务器正在被恶意程序占用资源进行加密货币挖矿。本文将带你从基础排查到深度防御，构建完整的云服务器安全防护体系。
1. 异常现象初判：当服务器开始"不对劲"
服务器性能异常往往有迹可循。当出现以下症状时，就该提高警惕了：
- 响应迟缓：SSH连接延迟明显增加，基础命令执行时间延长
- 资源异常：CPU持续高负载（通过
uptime查看load average） - 温度升高：物理服务器风扇转速异常（云服务器可通过监控面板观察）
- 网络流量：出站流量突增（特别是非常用端口）
提示：阿里云用户可先检查控制台的"云监控"面板，快速获取CPU、内存、网络的基础指标。
2. 系统级排查：top命令的深度使用
2.1 基础排查四步法
# 第一步：查看整体资源占用 top -c # 第二步：按CPU排序（交互模式下按P） # 第三步：查看可疑进程的线程详情 top -Hp [可疑PID] # 第四步：转换线程ID为十六进制 printf "%x" [十进制线程ID]2.2 识别伪装进程的技巧
恶意程序常伪装成系统进程，需要特别关注：
| 可疑特征 | 正常特征 |
|---|---|
进程名带[ ]但非内核线程 | 内核线程通常为[kworker] |
| 占用CPU高但无对应服务 | 有明确的服务关联 |
| 随机字母组合的进程名 | 规范的命名 |
典型案例：
- 伪装成文件系统进程：
[ext4]、[xfs] - 模仿常见服务：
nginx-worker（注意拼写差异）
3. 云平台安全工具联动
3.1 阿里云安全中心实战
- 入侵检测：查看"安全告警"中的异常进程告警
- 恶意文件扫描：使用"病毒查杀"功能全盘扫描
- 进程网络分析：通过"网络连接"查看异常外联
# 安全中心常见检测路径（恶意程序藏匿点） /var/tmp/.system /dev/shm/.* /tmp/.X11-unix/3.2 防御策略配置
在安全中心设置自定义规则：
- 进程监控：禁止创建
/tmp/.X[0-9]*目录 - 文件保护：关键目录（如
/etc/crontab）防篡改 - 网络策略：限制非常用端口出站
4. 根治与防御体系构建
4.1 彻底清除步骤
- 记录恶意进程PID及启动命令
- 清除定时任务：
crontab -l和/etc/crontab检查 - 删除关联文件（注意隐藏文件）
- 检查SSH密钥：
~/.ssh/authorized_keys - 更新所有组件补丁
4.2 长效防护方案
安全加固清单：
- 账户安全：
- 禁用root直接登录
- 使用SSH密钥替代密码
- 服务最小化：
- 关闭非必要端口
- 使用安全组白名单
- 监控体系：
- 安装云监控Agent
- 设置CPU>90%持续5分钟告警
- 备份策略：
- 系统盘自动快照
- 关键数据异地备份
在最近一次安全审计中，我们发现某台测试服务器上的/usr/sbin/cron进程异常占用CPU，最终追踪到是攻击者通过漏洞上传的挖矿程序。这个案例提醒我们，即使是最基础的系统进程也需要保持怀疑态度。