CPU跑滿90%別急著擴容，八成是挖礦木馬，防范與清除實操

幫幾家中企排查服務器，十次有八次是中了挖礦程序。管理員看到CPU長期跑在90%以上，本能反應是調參數、擴內存，壓根沒留意后臺藏著XMRig在偷算力。挖礦木馬一旦駐留，電費白白燒掉不說，正常業務被擠到邊緣，搞不好直接宕機。

判斷是否被掛礦，別光翻進程列表。用top按CPU排序數字貨幣挖礦防范，盯那些名字很詭異的進程，比如偽裝成systemd-journald-xx的。真正該重點查的位置是/etc/crontab和/etc/systemd/system/下的自啟動項，挖礦程序九成靠定時任務或systemd服務實現重啟后自動拉起，清不干凈它就反復復活。

關閉所有非必要端口是最基礎也最容易忽略的一步。很多管理員習慣把SSH 22端口裸奔在公網上，這是挖礦木馬最常見的滲透入口。換成非標端口、強制密鑰認證，把Docker 2375、RPC端口在防火墻層全部封死。容器環境里忘刪的docker.sock更是重災區，一條curl就能拿到全權限shell。

真被滲透了，先斷網再殺進程，順序反了等于白干，新礦程序會立刻接管。用lsof -i把當前所有網絡連接拉出來，把礦池IP逐條寫進iptables黑名單。殺完進程必須回頭清持久化：crontab、systemd unit文件、~/.bashrc，三處異常條目一個不落全刪。

長效防護靠最小權限加持續掃描。每臺服務器裝ClamAV定時跑，再疊一層WAF監控異常出站流量。礦池通信特征很固定CPU跑滿90%別急著擴容，八成是挖礦木馬，防范與清除實操，出站流量里反復出現特定礦池域名就是明確告警信號，在SIEM里把這條規則配上，比事后挨個機器排查高效得多。