服务器资源突然被占满，CPU使用率100%，内存耗尽，服务响应缓慢甚至瘫痪——这往往是恶意进程在作祟。别慌，这不仅是“杀进程”那么简单，我们需要一套从快速查杀到深度加固的组合拳。首先，立即通过SSH登录服务器，使用top或htop命令查看实时进程，重点关注CPU和内存占用异常的进程ID（PID）、可疑的用户（如非常见的www-data、root以外的用户）以及奇怪的进程名。
第一步：快速定位与清除恶意进程
发现可疑进程后，不要急于用kill命令。先收集证据：使用ps auxf或pstree查看进程树关系，恶意进程常存在父子关联。记录其PID、启动路径（通过ls -l /proc/PID/exe查看）和网络连接（使用netstat -antp | grep PID或lsof -p PID）。然后，立即终止进程：kill -9 PID。若进程反复重生，可能存在守护进程或定时任务，需进一步排查。
第二步：深度排查入侵痕迹与后门
杀掉进程只是治标。接下来必须进行全盘扫描，找出入侵根源。
1. 检查系统计划任务：查看/var/spool/cron/、/etc/crontab及/etc/cron.*/目录，寻找可疑的定时任务。crontab -l -u root等命令可查看各用户任务。
2. 检查系统服务与启动项：对于systemd系统，运行systemctl list-unit-files --type=service | grep enabled；检查/etc/init.d/、/etc/rc.local以及/etc/systemd/system/下是否有陌生服务。
3. 检查最近修改的文件：使用find / -mtime -3 -type f查找近3天被修改的文件，重点关注/tmp、/dev/shm、/var/tmp等临时目录。
4. 检查用户与登录历史：查看/etc/passwd中是否有新增的未知用户，检查/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（CentOS/RHEL）中的异常登录记录，特别是非正常时段的成功登录。
第三步：使用专业工具进行扫描与查杀
人工排查可能遗漏，建议使用安全工具进行深度扫描。
1. Rootkit查杀：安装并运行chkrootkit和rkhunter。执行rkhunter --checkall和chkrootkit，仔细审查报告中的警告信息。
2. 恶意文件扫描：使用ClamAV进行病毒扫描：clamscan -r -i /。对于Web服务器，重点扫描网站目录，可使用专用webshell扫描工具如Linux Malware Detect (LMD)。
3. 网络连接分析：使用iftop或nethogs查看实时网络流量，定位异常外连IP。将可疑IP在威胁情报平台（如微步在线、VirusTotal）进行查询。
第四步：系统安全加固与防御策略
清理完成后，必须加固系统以防再次入侵。这是一项系统工程。
1. 账户与密码安全：强制使用高强度密码策略，禁用或删除无用账户。限制root远程登录，修改SSH端口，强制使用密钥登录。示例SSH加固配置（/etc/ssh/sshd_config）：
Port 2222 PermitRootLogin no PasswordAuthentication no PubkeyAuthentication yes AllowUsers your_username MaxAuthTries 3
2. 最小化服务与端口：使用netstat -tunlp或ss -tunlp查看开放端口，关闭所有非必要服务。配置防火墙（iptables或firewalld），只允许业务必需的端口访问，并对管理端口（如SSH）实施IP白名单限制。
3. 文件系统与权限加固：遵循最小权限原则。为Web服务分配专用低权限用户，并严格限制其目录写入权限。关键系统目录设置不可修改属性：chattr +i /etc/passwd /etc/shadow /etc/group /etc/sudoers。定期使用aide或tripwire进行文件完整性校验。
4. 入侵检测与监控：部署日志集中分析系统（如ELK Stack），实时监控关键日志。安装主机入侵检测系统（HIDS）如OSSEC或Wazuh，它能监控文件变化、rootkit、异常登录并提供实时告警。
5. 漏洞管理与补丁更新：建立严格的补丁管理流程，及时更新操作系统、Web服务器（Nginx/Apache）、运行环境（PHP/Python/Java）及所有应用软件的安全补丁。可使用lynis进行自动化安全审计，获取详细的加固建议。
第五步：建立应急响应与常态化安全机制
安全是持续过程，不是一次性的任务。
1. 制定应急预案：明确服务器被入侵后的处理流程，包括隔离、排查、清除、恢复和报告。保留干净的系统和应用镜像，以便快速恢复。
2. 定期安全巡检：每周检查系统日志、用户、进程和网络连接。每月进行一次全面的漏洞扫描和安全配置核查。
3. 资源监控与告警：部署如Prometheus+Grafana或商业监控平台，对CPU、内存、磁盘I/O、网络流量设置智能基线告警。一旦资源异常飙升，能第一时间收到通知。
4. 应用层安全：大部分入侵通过Web应用漏洞（如SQL注入、文件上传）发起。务必在代码开发、测试、上线各环节融入安全评估（SAST/DAST），对上传文件进行严格的重命名、类型检查和病毒扫描。
总而言之，面对服务器资源被恶意进程占满，切忌“一杀了之”。必须遵循“止血（杀进程）-> 清创（查后门）-> 消毒（扫漏洞）-> 增强免疫力（系统加固）-> 定期体检（持续监控）”的完整安全闭环。只有将技术手段与管理制度结合，构建纵深防御体系，才能确保服务器在复杂的网络环境中长治久安。
