Linux 木马排查
2026-10-23 16:05:51
Linux 木马排查步骤
在Linux系统中，当发现CPU使用率持续较高时，可能是木马病毒等恶意软件在作祟。以下是一套详细的木马排查步骤，以供参考：
一、初步观察与定位
监控系统与CPU使用情况
通过监控系统发现某台机器CPU使用率持续较高。
人为登录服务器进行进一步排查。
使用top命令查看进程
执行top命令，查看当前负载较高的进程。
如图示，发现kswapd0进程占用CPU较高。
二、分析kswapd0进程
了解kswapd0的正常作用
kswapd0是系统（root）的虚拟内存管理程序。
当物理内存不够用时，系统会唤醒kswapd0进程，分配磁盘交换空间作缓存，占用大量CPU资源。
检查内存使用情况
执行free -h命令，查看服务器内存使用情况。
发现内存并未出现紧张情况，理论上kswapd0应处于休眠状态。
检查kswapd0进程的异常
仔细查看top命令列出的进程信息，发现kswapd0的启动用户是ben，而非root。
这表明当前的kswapd0进程可能存在异常。
三、深入排查与确认木马
查看进程详细信息
执行netstat -lntup | grep kswapd0命令，查看与kswapd0进程相关的网络连接。
发现与本机通信的IP地址归属地为荷兰，进一步确认异常。
对比正常kswapd0进程
对比正常服务器的kswapd0进程，发现正常kswapd0不会以./kswapd0的形式启动。
因此，断定当前的kswapd0是病毒伪装。
四、杀毒与清理
定位木马文件路径
执行ll /proc/进程号命令，查看启动木马进程的文件的路径。
定位到木马文件路径为/home/ben/.configrc4/a/kswapd0。
清理木马文件
删除木马程序目录/home/ben/.configrc4。
检查计划任务
执行crontab -l命令，查看计划任务。
清理与木马相关的计划任务。
检查其他守护程序
检查/tmp目录及其他相关路径，发现并清理木马守护程序。
检查用户配置文件
使用ll -a命令查看目录下的所有目录及文件，包含隐藏文件。
检查.bashrc和.profile文件，确保没有执行可疑程序。
清理SSH登录后门
检查.ssh目录，发现黑客留下的登录后门（公钥信息）。
清理掉这个内容，防止黑客后续通过添加的SSH公钥信息免密登录。
杀掉守护进程
清理掉所有与木马相关的文件和进程后，确保木马守护进程不再自动重新部署和运行。
五、后续建议与防范措施
调整服务器SSH端口
修改SSH服务的默认端口，增加黑客攻击的难度。
做好访问策略
设置合理的访问控制策略，限制不必要的访问。
修改用户名和密码
修改曾被黑客使用的用户名和密码，确保账户安全。
禁止root登录
禁止通过root账户直接登录服务器，降低安全风险。
通过以上步骤，可以有效地排查并清理Linux系统中的木马病毒，同时采取必要的防范措施，确保系统的安全性和稳定性。
热门标签
