服务器被挖矿了？别慌，按这个流程处理
发现服务器CPU突然飙到100%，top命令看到一个奇怪的进程在跑，很可能是被挖矿了。别慌，这是云服务器最常见的安全事件之一。按照下面的流程处理，可以最大限度地减少损失并防止再次发生。
「求助：ECS服务器被挖矿，如何排查和加固？」提醒我们一个朴素的事实：云上安全纵深防御靠的不是临场发挥，而是平时的体系化建设。告警是否准确、日志是否齐全、权限是否收敛，决定了故障来临时是从容处置还是手忙脚乱。
第一步：确认和隔离
先用 top 确认异常进程（通常CPU占用99%+，进程名可能是随机的）。用 ls -la /proc/PID/exe 查看进程的可执行文件路径。用 cat /proc/PID/cmdline 查看启动命令。
不要急于kill进程（可能还会被拉起），先做现场保留：ps aux > /tmp/ps_output.txt、netstat -antlp > /tmp/netstat.txt、last -50 > /tmp/last_login.txt。然后将服务器从负载均衡中摘除，避免影响业务。
第二步：排查入侵路径
常见的入侵途径：
- 弱密码：SSH使用root+简单密码，被暴力破解。检查
/var/log/secure中的失败登录记录。 - 未修复的漏洞：Redis未设置密码暴露在公网、Web应用有RCE漏洞、Docker API未授权访问。
- 被利用的服务：Struts2、WebLogic等中间件的已知漏洞。
检查 ~/.ssh/authorized_keys 是否被写入了陌生的公钥。检查 /etc/crontab 和 /var/spool/cron/ 是否有可疑的定时任务（挖矿木马通常通过cron持久化）。检查 /tmp 和 /dev/shm 目录下是否有可疑的可执行文件。
第三步：清理和恢复
杀掉挖矿进程，删除恶意文件，清理可疑的cron任务和authorized_keys。检查 /etc/ld.so.preload 是否被植入恶意动态链接库。检查系统binary是否被替换（rpm -Va 或 dpkg --verify）。
如果系统文件被篡改严重，最安全的做法是重装系统：创建快照备份数据 → 更换操作系统 → 恢复业务数据 → 重新部署应用。
第四步：加固防护
修改SSH端口（从22改为随机端口）、禁止root登录、使用密钥认证、设置fail2ban防暴力破解。安装云安全中心Agent，开启入侵检测。关闭不必要的端口和服务。Redis、MySQL等服务只监听内网IP。定期更新系统补丁。
把云上安全纵深防御交给更专业的协作方
安徽卓牛为客户提供云上的安全加固、监控体系搭建与运维托管服务，能够结合阿里云安全与可观测产品，帮助团队建立可持续的运维安全体系，而非一次性整改。
若你希望就「求助：ECS服务器被挖矿，如何排查和加固？」涉及的内容做一次现状评估，可通过官网在线客服联系安徽卓牛，获取针对性建议。
云上安全纵深防御的体系化思路
与其追求单点工具的极致配置，不如先保证覆盖面：关键资产是否都在监控之内、重要操作是否都有审计、对外暴露面是否都经过评估。覆盖面完整之后，再谈深度优化才有意义。
体系化的另一个好处是可传承：不依赖某个人的记忆，而是依赖流程与清单，团队整体水位才会稳定提升。