凌晨两点，VPS告警显示CPU满载，登录后只见几个像系统服务的进程；杀掉一个，几分钟后又被拉起。业务高负载也会让人封错端口。排查挖矿不能只盯CPU，而要把进程、网络、时间线和权限连成证据链。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：digvps（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
第一节：从进程反查矿工，先建立可信证据链
先无损取证。用ps、top和/proc核对PID、父进程、路径、UID与命令行，并计算可疑文件哈希。异常进程识别重点看三点：文件是否位于临时目录或已删除、安装记录与路径是否矛盾、父进程退出后进程是否被重建。名称含xmrig或伪装成systemd，都只是线索。
再用ss -tpn把进程对应到连接，检查3333、4444、5555、14444等矿池常见端口，并结合DNS、TLS握手和持续时间判断。矿池连接检测不能只搜端口：端口可改，代理会中转，3333也可能是业务端口；应与历史基线及进程inode交叉验证。
高CPU便终止进程是常见坑，这会破坏现场，也可能触发隐藏启动器重建。先保存进程树、连接表、哈希和日志，再隔离出口。ServLlama可汇总进程、服务和连接，减少漏项，但不能替代取证。
第二节：计划任务与容器入口，追踪自动复活路径
进程被“复活”时，查计划任务持久化：核对用户与系统crontab、/etc/cron.*、systemd timer、at任务、启动脚本及authorized_keys，留意下载命令、编码载荷、异常ExecStart和被改写的PATH。文件时间可伪造，应按账号与落地文件串联，不能整目录删除。
容器环境要区分容器内挖矿与容器逃逸痕迹。检查privileged、host PID或网络、额外Capabilities，以及宿主机根目录、docker.sock挂载；这些是风险条件，不等于已逃逸。再对照容器配置、diff、事件日志与宿主机/proc的namespace、cgroup和父子关系，查找宿主机落点、可疑挂载及新增SSH密钥。
同时做横向移动溯源：核对SSH记录、密钥指纹、sudo记录、监听端口和同网段扫描，确认入口与同源文件。只清当前PID不够，账号、密钥或令牌未撤销，清理后仍会复发。
容器逃逸与横向移动溯源
容器被入侵后，攻击者不一定长期运行在容器内。常见手法是挂载宿主机目录、访问 docker.sock、利用高权限 capabilities 调用宿主机命令，或通过 nsenter、crictl 等工具进入宿主机命名空间。排查时应重点检查容器配置中的 hostPath、privileged、hostPID、hostNetwork 和安全策略，并确认是否存在异常挂载、可疑启动参数及新建的 SSH 密钥。
宿主机侧还要搜索矿工下载、停止和清理脚本，它们通常藏在 /tmp、/var/tmp、隐藏目录或 Web 发布目录中。检查 authorized_keys、shell 启动文件、systemd 服务、udev 规则和计划任务，可发现持久化入口。若发现陌生 SSH 密钥、内核模块、容器运行时命令或定时任务，不要立即删除，应先保存文件属性、时间和相关日志，以免破坏溯源证据。
横向移动可从登录日志、命令历史、SSH 密钥使用记录、异常源地址和内网连接入手。同一账号在短时间内访问大量主机，或出现 22、2375、2376、6443 等管理端口连接，通常值得重点核查。注意云厂商运维跳板机、监控探针和批量部署工具也可能产生相似流量，不能只凭端口或高 CPU 就判定为挖矿。
矿池连接检测与可执行检查清单
挖矿进程最终通常需要连接矿池。检测时应同时观察进程参数中的矿池域名、钱包地址，以及 ss -antp、lsof -i 和防火墙日志中的异常长连接。若矿池域名经过 DNS 解析，单纯检查域名可能漏报，还要结合目标 IP、连接方向、持续时间及 TLS 指纹判断。删除进程后连接立即消失，也可能说明它运行在短生命周期容器中，此时应回查容器事件和镜像层。
可按以下顺序执行检查：先用 ps -eo pid,ppid,user,etimes,%cpu,%mem,args --sort=-%cpu 定位长期高占用进程，再查看 ss -antp 核对矿池连接；随后检查用户及系统级 计划任务持久化，包括 crontab、/etc/cron.*、systemd timer、启动脚本和 SSH 授权密钥；再审查容器逃逸痕迹，如 docker.sock 挂载、hostPath、特权模式和宿主机命名空间访问；最后结合 shell 历史、认证日志、auditd 日志及防火墙记录完成横向移动溯源。
处置时不要只执行 kill。应先隔离主机或阻断矿池出口，保存样本、进程父子关系、文件哈希和网络连接，再清除持久化项、轮换可能泄露的凭据、重建受影响容器，并检查同账号及同网段的其他机器。若无法确认入侵范围，直接重装虽然能清除已知程序，却可能留下未发现的后门，根因仍然是宿主机访问控制和凭据隔离失效。
喜欢 
顶
难过
囧
围观
无聊
