一台VPS原本只跑网站，监控却连续三天出现CPU夜间突增、出站连接激增，重启后陌生进程又自动回来。根因往往不在一个可疑文件，而在“谁启动、谁拉起、重启后谁复活”这条链。只按文件名查杀，很容易删掉诱饵却留下入口；若直接终止进程，也可能破坏取证现场并错过真实来源。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：racknerd（AI云基础设施），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
使用随身服务器管理面板批量查看资源快照与登录事件，可先确认异常是否集中在单台主机；面板里的快照用于缩小范围，最终仍要以本机日志、文件和时间线交叉验证。
一、从进程树还原第一现场
进程树提供的是父子关系，不自动等于恶意关系。先用 ps -eo pid,ppid,lstart,user,args 记录快照，再用 pstree -aps 追到父进程；通过 /proc/PID/exe、cwd、status 和 cgroup 核对实际程序、工作目录、会话及用户。对已经消失的进程，应结合审计日志、服务日志和文件时间戳复盘，不能只看当前 top 输出。
判断时先问三件事：该进程由登录会话、systemd 还是计划任务拉起；它是否监听异常端口或连接陌生地址；它写入了哪些配置和可执行文件。若父进程是长期运行的 root 服务，不等于父进程无罪，攻击者可能借合法服务执行参数或替换二进制。发现文件被删除但进程仍在运行，还要检查 /proc/PID/exe 的删除标记，这是常见踩坑点。
二、从持久化入口重建感染链
随后将开机启动项、计划任务和SSH登录记录放到同一时间轴上。启动项重点查 systemd unit、timer、service、rc.local、shell 配置及 udev 规则；计划任务审计不能漏掉 /etc/cron.*、用户 crontab、@reboot 和一次性 at 任务。SSH 侧同时查看 last、lastb、journalctl 或 auth.log，把来源IP、账号、认证结果与异常进程的创建时间对齐。失败登录多只能说明爆破，只有成功登录或会话创建与落地文件相邻，才更接近有效入口。
内核模块也不能被“进程树里看不见”掩盖。用 lsmod 对照 /proc/modules，检查加载时间、来源路径、签名与 modinfo 信息，并排查 initramfs、模块目录和内核日志中的异常加载；未签名或来源不明的模块应列为高风险。判断异常应看多项证据组合：文件所有者、权限、哈希、时间戳、网络连接及与基线差异。取证前先导出样本和配置、关闭可疑账号的密钥并记录系统时间偏移；否则时间偏差、合法 root 服务和PID复用会制造错误因果。完成清除后再复测启动、计划任务、SSH会话、模块列表和出站连接，才能确认没有二次拉起。
进程树溯源：还原被重挂与删除掩盖的链路
可疑进程出现后，先保存 PID、启动时间、命令行、UID、真实路径，再结合 pstree -alp 与 /proc/<pid>/status 的 PPid 还原执行链。父进程退出后，子进程会重挂到 PID 1，不能只看当前 PPid，还要核对启动时间、cgroup 与 systemd 作用域。批量读取 /proc/*/exe，并用 lsof +L1 查找“已删除仍打开”的文件，可追到被替换的样本。先取证、后终止，否则父子关系和落地路径可能随进程消失。高 CPU 也不必然是挖矿：编译、杀毒同样高负载，矿工可能改名或降频，应结合矿池域名、钱包地址和业务基线判断。进程树说明“谁启动谁”，不能单独证明攻击来源。
交叉审计：把持久化、登录与内核证据串成时间线
计划任务审计不要只查 root crontab，还应覆盖 /etc/cron.*、各用户 /var/spool/cron、at 队列、systemd timer/unit 与 shell 启动文件，查找 curl、wget、base64、chmod、nohup 等落地命令。SSH登录记录要关联 auth.log 或 systemd journal 中 sshd 的 accepted/failed 事件、IP、用户和时间；accepted 只证明认证成功，NAT、代理、跳板会隐藏真实来源，日志轮转也会造成缺口。内核模块排查关注 lsmod、/proc/modules、模块签名、initramfs、udev 规则、/etc/ld.so.preload 及异常 capabilities 服务。异常文件落地重点扫描 /tmp、/dev/shm、/var/tmp 与用户目录，筛选隐藏目录、无扩展名 ELF、SUID 文件和被删除仍打开的文件。时间戳可伪造；卸载模块前先保存日志、模块列表与样本。
可执行检查清单：1）保存 ps -ef --forest、pstree -alp、ss -tulpn、lsmod；2）检查 crontab -l、/etc/cron.*、/var/spool/cron、systemctl list-timers；3）检索 journalctl _COMM=sshd 与 auth.log；4）扫描临时目录和用户目录中的近期 ELF，并关联进程打开文件；5）备份、计算样本哈希后终止父子进程，移除计划任务、启动项和样本，轮换密钥；6）修补入口、重启复测，并观察一个完整业务周期。
喜欢 
顶
难过
囧
围观
无聊
